小编kev*_*x91的帖子

我有一个Cognito用户池，其中包含分配给组的用户。

每个组都有其自己的角色，该角色在登录时（通过联合身份验证的用户）分配。这部分效果很好。

因此，可以创建不同的访问级别和组来匹配这些情况。我正在使用DynamoDB来存储一些与用户和组织相关的数据。每个角色都可以微调。

出现问题的地方是需要有多个租户。我已经添加了一个自定义属性，并根据上面讨论的角色限制了对编辑和更新此属性的访问权限。对于DynamoDB，在IAM策略中，我可以基于硬编码的组织ID（可以将其附加到每个项目）来限制对行的访问。

像这样“ rd”是组织ID的硬编码值：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem"
        ],
        "Resource": [
            "arn:aws:dynamodb:{region}:{number}:table/*"
        ],
        "Condition": {
            "ForAnyValue:StringEquals": {
                "dynamodb:LeadingKeys": [
                    "rd"
                ]
            }
        }
    }
]

}

但是，我希望能够访问与已登录用户相关的属性（不是他们的唯一ID，而是他们可以与组织中的其他人共有的东西），以避免硬编码。像这样：

{
"Version": "2012-10-17",
"Statement": [
    {
        "Sid": "VisualEditor0",
        "Effect": "Allow",
        "Action": [
            "dynamodb:GetItem",
            "dynamodb:BatchGetItem",
            "dynamodb:PutItem",
            "dynamodb:UpdateItem",
            "dynamodb:DeleteItem"
        ],
        "Resource": [
            "arn:aws:dynamodb:{regions}:{number}:table/*"
        ],
        "Condition": {
            "ForAnyValue:StringEquals": {
                "dynamodb:LeadingKeys": [
                    "${cognito-idp.{region}.amazonaws.com/{poolID}:attr[custom:org_id]}"
                ]
            }
        }
    }
]

}

我得到的错误是：

AccessDeniedException: User: …