<\/div>\n

Merhaba,<\/p>\n

Bu i\u00e7eri\u011fimizde, Amazon Cognito<\/em> ile .NET WebAPI’\u0131n g\u00fcvenli\u011fini sa\u011flama konusunda kapsaml\u0131 bir inceleme \u00e7al\u0131\u015fmas\u0131 ger\u00e7ekle\u015ftiriyor olaca\u011f\u0131z. Odak noktam\u0131z, OAUth ve Amazon Cognito e\u015fli\u011finde Serverless Authentication<\/em> sistemi olu\u015fturabilme \u00fczerine olacakt\u0131r. Bu i\u00e7eri\u011fin sonunda .NET WebAPI’lar\u0131n\u0131z\u0131n g\u00fcvence alt\u0131na almak i\u00e7in Amazon Cognito’yu nas\u0131l uygulayaca\u011f\u0131n\u0131z\u0131 tam teferruatl\u0131 anlam\u0131\u015f olacaks\u0131n\u0131z kanaatindeyim. O halde vakit kaybetmeksizin buyurun ba\u015flayal\u0131m…<\/p>\n

Amazon Cognito Nedir?<\/h3>\n
Geli\u015ftirilen uygulaman\u0131n \u00f6l\u00e7e\u011fi ne olursa olsun kimlik do\u011frulama her daim \u00f6nem arz edecek olan kritik ihtiya\u00e7lardan birisidir. Bu ihtiyac\u0131 ister kendi \u00f6zel olu\u015fturdu\u011funuz kimlik do\u011frulama stratejisi ile isterseniz de third party provider’lar ile sa\u011flayabilir ve kullanabilirsiniz. Ya da isterseniz de AWS taraf\u0131ndan sa\u011flanan kullan\u0131c\u0131 kimlik ve y\u00f6netim hizmeti olan Amazon Cognito’yu da tercih edebilirsiniz.<\/p>\n
Amazon Cognito; kimlik do\u011frulama, kullan\u0131c\u0131 y\u00f6netimi ve veri senkronizasyonu gibi \u00f6zellikleri sa\u011flayarak uygulamalar\u0131n geli\u015ftirme s\u00fcre\u00e7lerinde pratikle\u015ftirici bir nitelik sa\u011flamaktad\u0131r.<\/p>\n
Amazon Cognito ile \u00f6zellikle mobil ve web uygulamalar\u0131 gibi farkl\u0131 platformlarda kullan\u0131c\u0131lar\u0131n kimliklerini do\u011frulamak i\u00e7in OAuth 2.0, OpenID Connect veya SAML vs. gibi standart kimlik sa\u011flay\u0131c\u0131lar\u0131 ile entegre olunabilmektedir. B\u00f6ylece .NET geli\u015ftiricileri olarak kendi kimlik do\u011frulama sistemimizi OpenIddict<\/a> veya IdentityServer4<\/a> gibi k\u00fct\u00fcphaneleri kullanarak geli\u015ftirmek yerine(ki bunlar hala ge\u00e7erli yakla\u015f\u0131mlard\u0131r), Amazon Cognito servisiyle olduk\u00e7a avantajl\u0131 ve efektif bir \u015fekilde kurgulayabiliriz.<\/p>\n
B\u00f6ylece;<\/p>\n
\n
Amazon Cognito’nun sa\u011flayaca\u011f\u0131 ak\u0131c\u0131 bir kullan\u0131c\u0131 aray\u00fcz\u00fc \u00fczerinden nispeten kolay bir kullan\u0131c\u0131 y\u00f6netimi ve oturum i\u015flemleri ger\u00e7ekle\u015ftirilebilecek ve Facebook, Google vs. gibi harici identity provider’lar da basit ama etkili bir \u015fekilde desteklenebilecektir.<\/li>\n
Herhangi bir altyap\u0131 ihtiyac\u0131na dair endi\u015feye gerek kalmaks\u0131z\u0131n; Amazon Cognito, istenilen say\u0131da kullan\u0131c\u0131ya uyum sa\u011flayacak \u015fekilde \u00f6l\u00e7eklenebilecektir.<\/li>\n
\u00d6zelle\u015ftirilmi\u015f kimlik do\u011frulama sitemi tasarlarken, potansiyel hatalar\u0131n ve a\u00e7\u0131klar\u0131n olu\u015fma olas\u0131l\u0131\u011f\u0131 olduk\u00e7a d\u00fc\u015f\u00fck olacak ve b\u00f6ylece birinci s\u0131n\u0131f g\u00fcvenlik sa\u011flanacakt\u0131r.<\/li>\n
Di\u011fer AWS servisleriyle olan entegrasyon kolayca y\u00fcr\u00fct\u00fclebilecektir.<\/li>\n
Ve son olarak t\u00fcm bu \u00f6zellikler ayl\u0131k 50.000 aktif kullan\u0131c\u0131ya ve external identity provider a\u00e7\u0131s\u0131ndan da 50 kullan\u0131c\u0131n\u0131n oturum a\u00e7mas\u0131na kadar \u00fccretsiz olarak kullan\u0131labilecektir. Ha e\u011fer ki bu s\u0131n\u0131rlar\u0131n a\u015f\u0131lmas\u0131 gerekiyorsa bunun da olduk\u00e7a makul fiyat politikas\u0131yla ger\u00e7ekle\u015ftirilmesi m\u00fcmk\u00fcnd\u00fcr. https:\/\/aws.amazon.com\/tr\/cognito\/pricing\/<\/a><\/li>\n<\/ul>\n
Ne \u0130n\u015fa Edece\u011fiz?<\/h3>\n
Amazon Cognito’yu kullanarak serverless bir authentication sistemi taraf\u0131ndan g\u00fcvenli\u011fi sa\u011flanan Web API geli\u015ftirece\u011fiz. Bu API’daki authentication, Amazon Cognito User Pool taraf\u0131ndan olu\u015fturulan JWT’ye dayanacakt\u0131r.<\/p>\n
Bunun i\u00e7in ilk olarak Cognito’da client credentials<\/a> ve password flow<\/a> ayarlamalar\u0131n\u0131 ger\u00e7ekle\u015ftirecek ve daha sonra da bu ak\u0131\u015flar\u0131n bize belirli bir kullan\u0131c\u0131 i\u00e7in token \u00fcretebilme yetene\u011fini test edece\u011fiz. Bu i\u015flem tamamland\u0131\u011f\u0131nda, Amazon Cognito taraf\u0131ndan g\u00fcvenli hale getirilen API’\u0131 olu\u015fturacak ve bu API’\u0131n her iki ak\u0131\u015ftan gelen token’lar\u0131 alabildi\u011fini ve g\u00fcvenli bir API endpoint’ine yap\u0131lan request’leri do\u011frulayabildi\u011fini kontrol edece\u011fiz.<\/p>\n
Client Credential Flow & Password Grant Flow<\/h3>\n
Client Credential Flow’da client(yani geli\u015ftirece\u011fimiz Web API), access token kar\u015f\u0131l\u0131\u011f\u0131nda Cognito’ya client id ve secret de\u011ferlerini iletecek ve herhangi bir kullan\u0131c\u0131 onay\u0131na ihtiya\u00e7 duymaks\u0131z\u0131n client yetkilendirilecektir.<\/p>\n
Password Grant Flow ise kullan\u0131c\u0131n\u0131n kaynaklar\u0131na eri\u015fmek i\u00e7in bir server authentication yap\u0131lmas\u0131 gerekmektedir. Dolay\u0131s\u0131yla bu noktada kullan\u0131c\u0131 ad\u0131 ve \u015fifre gibi kullan\u0131c\u0131 bilgilerinin g\u00f6nderilmesi elzemdir.<\/p>\n
Amazon Cognito User Pool Olu\u015fturma<\/h3>\n
\u015eimdi ilk olarak Amazon Cognito User Pool olu\u015fturmaya odaklanal\u0131m. Bunun i\u00e7in AWS’ye giri\u015f yapal\u0131m ve AWS Console \u00fczerinden Cognito’yu aratal\u0131m. $\".NET$ <\/a>A\u015fa\u011f\u0131da g\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere Cognito user pool<\/em> sekmesini se\u00e7iyor ve oturum a\u00e7ma se\u00e7ene\u011fi i\u00e7in de kullan\u0131c\u0131 ad\u0131 ve \u015fifreyi se\u00e7iyoruz. Turuncu k\u0131s\u0131mdaki ‘Federated identity providers’ se\u00e7ene\u011fi ise Google, Facebook vs. gibi third party identity provider’lar\u0131 ile ilgilidir. $\".NET$ <\/a>Devam\u0131nda ise Cognito’nun varsay\u0131lan \u015fifre politikas\u0131n\u0131 se\u00e7iyoruz. $\".NET$ <\/a>2. ad\u0131mda sayfay\u0131 biraz daha a\u015fa\u011f\u0131 indirdi\u011fimizde Multi-factor authentication(\u00e7ok fakt\u00f6rl\u00fc kimlik do\u011frulama) davran\u0131\u015f\u0131yla ilgili yap\u0131land\u0131rmay\u0131 g\u00f6rece\u011fiz. Her ne kadar kaynaklar\u0131 koruman\u0131n g\u00fcvenli bir yolu olsa da bizler bu i\u00e7eri\u011fimizde multi-factor authentication’a dair herhangi bir \u00e7al\u0131\u015fma yapmayaca\u011f\u0131z. $\".NET$ <\/a>Devam\u0131nda ise 3. ad\u0131m\u0131 varsay\u0131lan ayarlar\u0131nda b\u0131rakarak direkt ge\u00e7ebiliriz. Amma velakin 4. ad\u0131mda onay mailene dair yap\u0131land\u0131rmada bulunabilmek i\u00e7in Cognito’nun varsay\u0131lan e-posta adresinden istifade edebiliriz. $\".NET$ <\/a>Ard\u0131ndan olu\u015fturdu\u011fumuz bu user pool’a bir isim verelim. Ayr\u0131ca Use the Cognito Hosted UI<\/em> se\u00e7ene\u011fini etkinle\u015ftirerek g\u00f6rseldeki gibi bir Cognito domain alal\u0131m. $\".NET$ <\/a>Ve son olarak 5. ad\u0131mda sayfan\u0131n az a\u015fa\u011f\u0131s\u0131na gelirsek e\u011fer user pool application client yap\u0131land\u0131rmas\u0131nda bulunaca\u011f\u0131z. Burada token olu\u015fturmas\u0131 i\u00e7in client credential grant type flow’u y\u00f6netmekten sorumlu bir client olu\u015fturaca\u011f\u0131z. $\".NET$ <\/a>Yukar\u0131daki ekran g\u00f6r\u00fcnt\u00fcs\u00fcnde oldu\u011fu gibi client credential flow a\u00e7\u0131s\u0131ndan olduk\u00e7a \u00f6nemli olan Generate a client secret<\/em>‘\u0131n se\u00e7ili oldu\u011fundan emin olman\u0131zda fayda var. Ayr\u0131ca callback url olarak \u015fimdilik sahte bir de\u011feri girelim ve user pool’u olu\u015ftural\u0131m. $\".NET$ <\/a><\/p>\n
Client Credentials Flow: Kurulum ve Test<\/h3>\n
\u015eimdi bu olu\u015fturdu\u011fumuz user pool client’\u0131nda client credentials flow’u uygulayaca\u011f\u0131z. Zaten g\u00fcvenlik nedenleriyle ayn\u0131 user pool client’\u0131nda birden fazla flow uygulanamamaktad\u0131r. Bu nedenle i\u00e7eri\u011fimizin sonraki sat\u0131rlar\u0131nda password grant flow’u uygularken de bunun i\u00e7in yeni bir client olu\u015fturuyor olaca\u011f\u0131z.<\/p>\n
Client credential flow’un temel fikri; client’\u0131n kullan\u0131c\u0131 kimlik bilgileri yerine, client id ve client secret gibi kendisine ait kimlik bilgileri e\u015fli\u011finde Amazon Cognito’dan authentication yapmas\u0131 \u00fczerine kuruludur. Bu ak\u0131\u015f genellikle protected edilmi\u015f resource’lara eri\u015fimi sa\u011flayabilmek i\u00e7in sadece client’\u0131n yetkilendirilmesinin yeterli oldu\u011fu senaryolarda tercih edilmektedir. Bizlerde bu senaryoya benzer bir \u00e7al\u0131\u015fma yapaca\u011f\u0131m\u0131zdan dolay\u0131 eri\u015fim a\u00e7\u0131s\u0131ndan \u00f6rneklendirmeyi sa\u011flayabilmek i\u00e7in bir resource server’a ihtiyac\u0131m\u0131z s\u00f6z konusudur.<\/p>\n
Bunun i\u00e7in yukar\u0131daki sat\u0131rlarda olu\u015fturdu\u011fumuz ‘cognito-example’ isimli user pool’a girelim ve a\u015fa\u011f\u0131daki ekran g\u00f6r\u00fcnt\u00fcs\u00fcnde oldu\u011fu gibi ‘App integration’ sekmesi \u00fczerinden ‘Resource servers’ alan\u0131nda ‘Create resource server’ butonuna t\u0131klayal\u0131m. $\".NET$ <\/a>Resource server’\u0131 a\u015fa\u011f\u0131daki gibi olu\u015ftural\u0131m. Tabi burada dikkat edilmesi gereken nokta \u015fudur ki, olu\u015fturulacak bu resource server’a bir scope eklendi\u011finden emin olunmas\u0131 gerekmektedir. G\u00f6rselde de g\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere ben olu\u015fturulan resouce server ismiyle birebir ayn\u0131 olan de\u011feri ekliyorum. Bu de\u011fere yaz\u0131n\u0131n sonraki seyrinde JWT olu\u015ftururken ihtiyac\u0131m\u0131z oldu\u011funu g\u00f6receksiniz… $\".NET$ <\/a>Ve ard\u0131ndan resource server’\u0131n olu\u015fturuldu\u011funu g\u00f6zlemleyelim. $\".NET$ <\/a>Bu i\u015flemden sonra yine user pool \u00fczerinden \u00f6nceki sat\u0131rlarda olu\u015fturmu\u015f oldu\u011fumuz ‘example-client’ isimli application client’a gidelim ve ‘Hosted UI’ b\u00f6l\u00fcm\u00fcne ilerleyelim. Bunun i\u00e7in a\u015fa\u011f\u0131daki g\u00f6rselde oldu\u011fu gibi ‘App integration’ sekmesi \u00fczerinden ‘App clients and analytics’ ba\u015fl\u0131\u011f\u0131 alt\u0131ndan eri\u015fim g\u00f6sterilebilmektedir. $\".NET$ <\/a>Bu ad\u0131mda a\u015fa\u011f\u0131daki g\u00f6rselde oldu\u011fu gibi ‘Identity providers’\u0131n ‘Cognito user pool’ ve ‘OAuth 2.0 grant types’\u0131n da ‘Client credentials’ oldu\u011fundan emin olunuz. Ayr\u0131ca, daha \u00f6nce olu\u015fturdu\u011fumuz scope’u da ‘Custom scopes’ k\u0131sm\u0131nda se\u00e7ti\u011fimize dikkatinizi \u00e7ekerim. $\".NET$ <\/a>Evet, credential flow i\u00e7in yap\u0131lmas\u0131 gereken t\u00fcm \u00e7al\u0131\u015fmalar bunlardan ibaret. Art\u0131k olu\u015fturdu\u011fumuz ‘example-client’\u0131n detay\u0131na giderek client id ve client secret de\u011ferlerini g\u00f6rebilir ve istedi\u011fimiz yere depolayabiliriz. $\".NET$ <\/a>\u015eimdi client credential flow’u kullanarak bir JWT token olu\u015fturma testi ger\u00e7ekle\u015ftirelim. Bunun i\u00e7in ben deniz Insomnia aray\u00fcz\u00fcn\u00fc kullanaca\u011f\u0131m. Ha tabi ki de sizler isterseniz Postman ya da farkl\u0131 bir ara\u00e7lardan istifade edebilirsiniz.<\/p>\n
JWT olu\u015fturabilmek i\u00e7in a\u015fa\u011f\u0131daki url’e verilen parametreler e\u015fli\u011finde bir POST request’i g\u00f6ndermemiz yeterlidir.<\/p>\n
https:\/\/{domain}.auth.{region}.amazoncognito.com\/oauth2\/token<\/p><\/blockquote>\n
Buradaki domain ve region bilgilerini pe\u015finen elde etmek i\u00e7in olu\u015fturulan user pool’un ‘App integration’ sekmesi alt\u0131ndaki ‘Domain’ ba\u015fl\u0131\u011f\u0131na g\u00f6z atabilirsiniz. $\".NET$ <\/a>Velhas\u0131l iste\u011fi a\u015fa\u011f\u0131daki parametreler e\u015fli\u011finde g\u00f6nderelim. $\".NET$ <\/a>G\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere taraf\u0131m\u0131zca client credential flow kullan\u0131larak yap\u0131lan istek, Amazon Cognito’da do\u011fruland\u0131 ve bir access token \u00fcreterek, elde etmemizi sa\u011flad\u0131. \u015eimdi bu JWT de\u011ferini jwt.io<\/a>‘da decode ederek incelersek e\u011fer; $\".NET$ <\/a>i\u00e7erisinde client_id ve scope bilgileri e\u015fli\u011finde datalar\u0131n bulundu\u011fu g\u00f6rmekteyiz.<\/p>\n
\u0130\u00e7eri\u011fimizin bu noktas\u0131na kadar client credential flow’a odakl\u0131 \u00e7al\u0131\u015f\u0131p, test ama\u00e7l\u0131 bir do\u011frulama ger\u00e7ekle\u015ftirmi\u015f bulunuyoruz. Bir sonraki ad\u0131mda password grant flow’a odaklanacak ve kullan\u0131c\u0131 ad\u0131 ile birlikte \u015fifresini kullanaca\u011f\u0131m\u0131z \u00e7al\u0131\u015fmalar\u0131 ger\u00e7ekle\u015ftirece\u011fiz.<\/p>\n
Password Grant Flow: Kurulum ve Test<\/h3>\n
\u015eimdi de password grant flow authentication i\u00e7in ba\u015fka bir application client olu\u015fturmam\u0131z gerekmektedir. Bunun i\u00e7in a\u015fa\u011f\u0131daki ekran g\u00f6r\u00fcnt\u00fcs\u00fcnde oldu\u011fu gibi ‘cognito-example’ isminde olu\u015fturdu\u011fumuz user pool \u00fczerinden ‘App integration’ sekmesine gelelim, oradan da sayfan\u0131n biraz a\u015fa\u011f\u0131s\u0131ndaki ‘App client list’ k\u0131sm\u0131ndan ‘Create app client’ butonuna t\u0131klayarak yeni client olu\u015fturma sayfas\u0131na gelelim. $\".NET$ <\/a>Bu sefer de dikkat ederseniz ‘example-password-client’ ad\u0131nda bir client olu\u015fturuyoruz. Burada dikkat edilmesi gereken nokta ise a\u015fa\u011f\u0131daki g\u00f6rselde vurguland\u0131\u011f\u0131 gibi art\u0131k gerek duyulmayaca\u011f\u0131ndan dolay\u0131 bir secret key olu\u015fturtmuyoruz. $\".NET$ <\/a>Sayfada hafif a\u015fa\u011f\u0131 inersek e\u011fer ‘Authentication flows’ k\u0131sm\u0131nda ALLOW_USER_PASSWORD_AUTH<\/code> de\u011ferini se\u00e7elim. Bunun d\u0131\u015f\u0131nda a\u015fa\u011f\u0131daki ekran g\u00f6r\u00fcnt\u00fcs\u00fcnde oldu\u011fu gibi olu\u015fturulacak token’a dair expiration de\u011ferlerini kendinize ya da i\u015f kurallar\u0131n\u0131za g\u00f6re belirleyebilirsiniz. Biz varsay\u0131lan de\u011ferlere ba\u011fl\u0131 kalarak yola devam edelim.<\/a>Devam\u0131nda ise sayfay\u0131 biraz daha a\u015fa\u011f\u0131 indirerek ‘Hosted UI settings’ k\u0131sm\u0131na gelelim ve bir callback url belirleyelim.<\/a>Tabi burada ‘Identity providers’ olarak ‘Cognito user pool’u se\u00e7ti\u011fimizden ve ‘OAuth 2.0 grant types’\u0131 da a\u015fa\u011f\u0131daki gibi ‘Implicit grant’ se\u00e7ti\u011fimizden emin olal\u0131m.<\/a>Ve nihai olarak client’\u0131m\u0131z\u0131 olu\u015ftural\u0131m.<\/a>Bu ad\u0131mdan sonra art\u0131k bir kullan\u0131c\u0131 olu\u015fturmam\u0131z gerekecektir. Bunun i\u00e7in tekrardan olu\u015fturdu\u011fumuz user pool’a gelelim ve ‘Users’ sekmesi \u00fczerinden kullan\u0131c\u0131 olu\u015fturma i\u015flemini a\u015fa\u011f\u0131daki gibi ger\u00e7ekle\u015ftirelim.<\/a>G\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere ‘\u015fuayip’ ad\u0131nda bir kullan\u0131c\u0131 olu\u015fturmu\u015f bulunuyoruz.<\/p>\n
Haz\u0131r laf\u0131 ge\u00e7mi\u015fken buradan \u015euayip abiye de selamlar olsun\ud83e\udd1a\ud83e\udd78<\/p><\/blockquote>\n
Ha tabi burada girilen \u015fifrenin ge\u00e7ici oldu\u011funu da unutmamak laz\u0131m.<\/a>G\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere kullan\u0131c\u0131 olu\u015fturulmu\u015f ve etkinle\u015ftirilmi\u015ftir. Lakin ‘Confirmation status’e g\u00f6z atarsan\u0131z \u015fifreyi de\u011fi\u015ftirmemiz gerekti\u011fini s\u00f6ylemektedir. Bunun i\u00e7in AWS CLI’den a\u015fa\u011f\u0131daki gibi istifade edebiliriz.<\/p>\n
\r\naws cognito-idp admin-set-user-password --user-pool-id "<user-pool-id>" --username "<username>" --password "<permanent-password>" --permanent\r\n<\/pre>\nBizler misal olarak, bu talimat\u0131 a\u015fa\u011f\u0131daki gibi kullanal\u0131m;<\/p>\n\r\naws cognito-idp admin-set-user-password --user-pool-id "us-east-1_Vol2qyQFn" --username "\u015fuayip" --password "1q2w3E4'" --permanent\r\n<\/pre>\nAWS CLI komutunu \u00e7al\u0131\u015ft\u0131rabilmek i\u00e7in AWS Credentials ve profile bilgilerini bilgisayar\u0131n\u0131zda \u00f6nceden ayarlam\u0131\u015f olman\u0131z gerekmektedir. Konuya dair .NET Uygulamalar\u0131 \u0130\u00e7in Detayl\u0131 AWS Credentials Konfig\u00fcrasyonu<\/a> ba\u015fl\u0131kl\u0131 makalemi okuman\u0131z\u0131 tavsiye ederim.<\/em><\/div>\nBu i\u015flem tamamland\u0131ktan sonra ekledi\u011fimiz kullan\u0131c\u0131n\u0131n onaylanm\u0131\u015f oldu\u011funu g\u00f6receksiniz.<\/a>\u015eimdi bu vaziyette testimizi ger\u00e7ekle\u015ftirebiliriz.<\/p>\n Biliyorsunuz ki, password grant flow’da user credentials bilgilerinin sunucuya iletilmesi gerekmektedir. Bunun i\u00e7in de OAuth 2.0 protokol\u00fc kapsam\u0131nda ger\u00e7ekle\u015fecek olan yetkilendirme i\u015flemlerini destekleyecek header’lar e\u015fli\u011finde request’te bulunmam\u0131z gerekmektedir. Haliyle https:\/\/cognito-idp.{region}.amazonaws.com\/<\/code> adresine a\u015fa\u011f\u0131daki ayarlarda bir POST iste\u011finde bulunulmas\u0131 gerekmektedir.<\/a>Yap\u0131lacak iste\u011fin header’lar\u0131na yukar\u0131daki g\u00f6rsel \u00fczerinden g\u00f6z atarsak e\u011fer; ‘Content-Type’a kar\u015f\u0131l\u0131k AWS taraf\u0131ndan JSON format\u0131na kar\u015f\u0131n belirlenmi\u015f g\u00fcvenli ve tutarl\u0131 bir standart olan application\/x-amz-json-1.1<\/code> de\u011ferini veriyoruz. B\u00f6ylece AWS Cognito Identity Provider API’\u0131yla kuraca\u011f\u0131m\u0131z ileti\u015fimde g\u00f6nderece\u011fimiz kullan\u0131c\u0131 ad\u0131 ve \u015fifre gibi verilerin bi\u00e7imini ifade etmi\u015f oluyoruz.<\/p>\n ‘X-Amz-Target’ ba\u015fl\u0131\u011f\u0131na kar\u015f\u0131l\u0131k ise AWSCognitoIdentityProviderService.InitiateAuth<\/code> de\u011ferini veriyoruz. B\u00f6ylece yap\u0131lacak request’in hangi AWS servisine gidece\u011fini ifade etmi\u015f oluyoruz. Bu header’lar e\u015fli\u011finde request’in body’sini de a\u015fa\u011f\u0131daki gibi ayarlayal\u0131m.<\/a>Burada olu\u015fturdu\u011fumuz client’\u0131n id de\u011feri e\u015fli\u011finde gerekli olan t\u00fcm bilgileri verdikten sonra istekte bulunal\u0131m.<\/a>Vee g\u00f6r\u00fcld\u00fc\u011f\u00fc \u00fczere ‘AccessToken’, ‘IdToken’ ve ‘RefreshToken’lar olu\u015fturulup, taraf\u0131m\u0131zca elde edilmi\u015ftir.<\/p>\n \u015eimdi i\u00e7eri\u011fimizin seyri a\u00e7\u0131s\u0131ndan client credential flow ve password grant flow’u inceledi\u011fimize g\u00f6re geriye, serverless authentication i\u015flemini kullanarak taraf\u0131m\u0131zca olu\u015fturulmu\u015f olan bir Asp.NET Core Web API uygulamas\u0131n\u0131n g\u00fcvenli\u011fini sa\u011flamak kalm\u0131\u015ft\u0131r.<\/p>\n Amazon Cognito \u0130le Web API’\u0131n G\u00fcvenli\u011fini Sa\u011flama<\/h3>\n\u0130lk olarak bir Asp.NET Core Web API projesi olu\u015ftural\u0131m ve ard\u0131ndan ilgili projeye a\u015fa\u011f\u0131daki k\u00fct\u00fcphaneleri y\u00fckleyelim.<\/p>\n\nAmazon.AspNetCore.Identity.Cognito<\/a><\/li>\n Microsoft.AspNetCore.Authentication.JwtBearer<\/a><\/li>\n<\/ul>\n<\/a>Gerekli paketleri y\u00fckledikten sonra uygulaman\u0131n yap\u0131land\u0131rmas\u0131n\u0131 a\u015fa\u011f\u0131daki gibi ger\u00e7ekle\u015ftirelim;<\/p>\n \r\nusing Microsoft.AspNetCore.Authentication.JwtBearer;\r\nusing Microsoft.AspNetCore.Authorization;\r\n\r\nvar builder = WebApplication.CreateBuilder(args);\r\n\r\nbuilder.Services.AddCognitoIdentity();\r\n\r\nbuilder.Services\r\n .AddAuthentication(options =>\r\n {\r\n options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;\r\n options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;\r\n })\r\n .AddJwtBearer(options =>\r\n {\r\n \/\/ https:\/\/cognito-idp.{region}.amazonaws.com\/{user-pool-id}\r\n options.Authority = "https:\/\/cognito-idp.us-east-1.amazonaws.com\/us-east-1_Vol2qyQFn";\r\n options.TokenValidationParameters = new()\r\n {\r\n ValidateIssuerSigningKey = true,\r\n ValidateAudience = false\r\n };\r\n });\r\n\r\nbuilder.Services.AddAuthorization();\r\n\r\nvar app = builder.Build();\r\n\r\napp.UseAuthentication();\r\napp.UseAuthorization();\r\n\r\napp.MapGet("\/", [Authorize] () =>\r\n{\r\n return Results.Ok(true);\r\n});\r\n\r\napp.Run();\r\n<\/pre>\nYukar\u0131daki kod blo\u011funa g\u00f6z atarsan\u0131z e\u011fer; 6.<\/em><\/strong> sat\u0131rda AddCognitoIdentity<\/code> metodu ile uygulaman\u0131n authentication ve authorization s\u00fcre\u00e7leri Cognito API’lar\u0131na g\u00f6re yap\u0131land\u0131r\u0131lmakta ve 8<\/em><\/strong> ile 23.<\/em><\/strong> sat\u0131r aral\u0131\u011f\u0131nda ise JWT bearer authentication’a g\u00f6re \u015femalar ayarlanmakta ve \u00f6zellikle authorization server olarakta 17.<\/em><\/strong> sat\u0131rda Cognito belirlenmektedir. 32<\/em><\/strong> ve 35.<\/em><\/strong> sat\u0131r aral\u0131\u011f\u0131nda ise authorize edilerek olu\u015fturulmu\u015f olan bir minimal api mevcuttur.<\/p>\n\u015eimdi bizler bu API’a direkt bir istekte bulunursak a\u015fa\u011f\u0131daki g\u00f6rselden de anla\u015f\u0131laca\u011f\u0131 \u00fczere 401 Unauthorized durumuyla kar\u015f\u0131la\u015faca\u011f\u0131z.<\/a>Bu vaziyette Cognito’dan password grant flow neticesinde gelen access_token de\u011ferini a\u015fa\u011f\u0131daki gibi ilgili iste\u011fin header’lar\u0131nda ‘Authorization’ key’ine kar\u015f\u0131l\u0131k Bearer ....<\/code> \u015feklinde verirsek a\u015fa\u011f\u0131daki g\u00f6rselde oldu\u011fu gibi iste\u011fin ba\u015far\u0131yla ger\u00e7ekle\u015ftirildi\u011fini g\u00f6rm\u00fc\u015f oluyoruz.<\/a>Nihai olarak; \nGeli\u015ftirdi\u011fimiz yaz\u0131l\u0131m sistemlerinde kritik noktalardan biri olan authentication ve authorization yap\u0131lanmalar\u0131n\u0131 k\u00e2h yaz\u0131l\u0131m dahilinde geli\u015ftirebilir, k\u00e2h merkezi bir authorization server kurmam\u0131z\u0131 sa\u011flayan OpenIddict<\/a> veya IdentityServer4<\/a> gibi haz\u0131r k\u00fct\u00fcphaneler e\u015fli\u011finde in\u015fa edebiliriz. T\u00fcm bunlar\u0131n d\u0131\u015f\u0131nda cloud tabanl\u0131 olan AWS Cognito sayesinde hem authentication ve authorization sorumluluklar\u0131n\u0131 yap\u0131land\u0131rabilece\u011fimiz gibi hem de kullan\u0131c\u0131 y\u00f6netimi ve Facebook, Google vs. gibi sosyal kimlik sa\u011flay\u0131c\u0131lar\u0131yla entegrasyon gibi \u00e7e\u015fitli yetenekleri de kolayl\u0131kla ger\u00e7ekle\u015ftirebiliriz. Tercih; \u00f6nce gereksinimlerin, sonra sizin \ud83d\ude42<\/p>\n \u0130lgilenenlerin faydalanmas\u0131 dile\u011fiyle… \nSonraki yaz\u0131lar\u0131mda g\u00f6r\u00fc\u015fmek \u00fczere… \n\u0130yi \u00e7al\u0131\u015fmalar…<\/p>\n Not : \u00d6rnek \u00e7al\u0131\u015fmay\u0131 a\u015fa\u011f\u0131daki github adresinden edinebilirsiniz. \nhttps:\/\/github.com\/gncyyldz\/Amazon.Cognito.Example<\/a><\/p>\n","protected":false},"excerpt":{"rendered":" Merhaba, Bu i\u00e7eri\u011fimizde, Amazon Cognito ile .NET WebAPI’\u0131n g\u00fcvenli\u011fini sa\u011flama konusunda kapsaml\u0131 bir inceleme \u00e7al\u0131\u015fmas\u0131 ger\u00e7ekle\u015ftiriyor olaca\u011f\u0131z. Odak noktam\u0131z, OAUth ve Amazon Cognito e\u015fli\u011finde Serverless Authentication sistemi olu\u015fturabilme \u00fczerine olacakt\u0131r. Bu i\u00e7eri\u011fin sonunda .NET...<\/p>\n","protected":false},"author":1,"featured_media":26768,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4730],"tags":[4757,4957,4981,4979,4980,4956],"class_list":["post-26673","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-aws","tag-amazon-cognito","tag-amazon-cognito-nedir","tag-amazon-cognito-user-pool","tag-client-credential-flow","tag-password-grant-flow","tag-serverless-authentication"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/26673","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/comments?post=26673"}],"version-history":[{"count":17,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/26673\/revisions"}],"predecessor-version":[{"id":26769,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/posts\/26673\/revisions\/26769"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/media\/26768"}],"wp:attachment":[{"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/media?parent=26673"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/categories?post=26673"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.gencayyildiz.com\/blog\/wp-json\/wp\/v2\/tags?post=26673"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}