AWS Cognito

Aprenda a configurar LibreChat para utilizar AWS Cognito para la autenticación de usuarios.

Crear un nuevo User Pool en Cognito

Visite: https://console.aws.amazon.com/cognito/
Inicia sesión como Root User
Haz clic en Create user pool

Las opciones de inicio de sesión de su grupo de usuarios de Cognito deben incluir User Name y Email.

Configurar los requisitos de seguridad

Puede configurar los requisitos de contraseña ahora si lo desea

Elija los atributos requeridos al registrarse. El mínimo requerido es name. Si desea exigir que los usuarios utilicen su nombre completo al registrarse, utilice given_name y family_name como atributos requeridos.

Configurar la entrega de mensajes

El envío de correos electrónicos con Cognito se puede utilizar de forma gratuita hasta 50 correos electrónicos al día.

Integra tu aplicación

Seleccione Use Cognitio Hosted UI y elija un nombre de dominio

Establezca el tipo de aplicación en Confidential client Asegúrese de que Generate a client secret esté activado. Establezca las Allowed callback URLs en https://YOUR_DOMAIN/oauth/openid/callback

En Advanced app client settings, asegúrese de que Profile esté incluido en los OpenID Connect scopes (en la parte inferior).

Revisar y crear

Ahora puedes realizar cambios de último minuto; haz clic en Create user pool cuando hayas terminado de revisar la configuración.

Obtén tus variables de entorno

Abra su User Pool

El User Pool ID y tu región de AWS se utilizarán para construir el OPENID_ISSUER (ver más abajo)

Ve a la pestaña App Integrations

Abre el cliente de la aplicación

Alternar Show Client Secret

Utilice el Client ID para OPENID_CLIENT_ID
Utilice el Client secret para OPENID_CLIENT_SECRET
Genere una cadena aleatoria para OPENID_SESSION_SECRET

OPENID_SCOPE y OPENID_CALLBACK_URL están preconfigurados con los valores correctos

Abre el archivo .env en la raíz de tu carpeta LibreChat y añade las siguientes variables con los valores que copiaste:

DOMAIN_CLIENT=https://your-domain.com # use http://localhost:3080 if not using a custom domain
DOMAIN_SERVER=https://your-domain.com # use http://localhost:3080 if not using a custom domain
 
OPENID_CLIENT_ID=Your client ID
OPENID_CLIENT_SECRET=Your client secret
OPENID_ISSUER=https://cognito-idp.[AWS REGION].amazonaws.com/[USER POOL ID]/.well-known/openid-configuration
OPENID_SESSION_SECRET=Any random string
OPENID_SCOPE=openid profile email
OPENID_CALLBACK_URL=/oauth/openid/callback
 
# Optional: redirects the user to the end session endpoint after logging out
OPENID_USE_END_SESSION_ENDPOINT=true
# Optional: generates the nonce url parameter.
OPENID_GENERATE_NONCE=true

[!WARNING]
Si Cognito está configurado con un proveedor OIDC, es decir, federación con Entra, se requiere OPENID_GENERATE_NONCE=true. De lo contrario, Cognito lo generará de todos modos y la validación de las claims fallará ya que el cliente no proporcionó uno.

Guarda el archivo .env

Nota: Si utiliza Docker, ejecute docker compose up -d para aplicar los cambios de configuración en el archivo .env