Amazon Cognito 故障排除

为父域创建 A 记录：您必须在 DNS 配置中为自定义域的父域创建 A 记录。

验证 DNS 传播（可选但推荐）：要确保您的 DNS 提供商已传播更改，您可以运行 dig 命令。

删除父域 A 记录：在 Amazon Cognito 中成功创建自定义域后，如果父域为虚拟域，则可以删除您为父域创建的 A 记录。

要为新用户池使用该域名，必须从当前与其关联的用户池中删除自定义域。

删除后等待：自定义域需要一段时间才能从第一个用户池中完全删除。删除后立即使用相同的名称创建新自定义域仍可能导致此错误。请等待几分钟，然后重试。

选项 1：为您的 Amazon Cognito 自定义域使用不同的域名。

选项 2：如果您使用 Amazon Cognito 的域名，请不要将其用于其他亚马逊 CloudFront 发行版。

确保证书区域：确认 ACM 证书位于 us-east-1 区域。

检查证书有效性：确保所选证书未过期。

导入的证书：如果您已将证书导入 ACM，请确保：

Amazon KMS 策略检查： Amazon Key Management Service (Amazon KMS) 策略中针对创建域的 IAM 用户或角色的明确deny声明可能会导致此错误。具体而言，请在 kms:DescribeKey、kms:CreateGrant 或 kms:* 操作中检查是否存在显式拒绝。

确保应用程序客户端 ID 一致：调用 AdminInitiateAuth 或 InitiateAuth API 进行令牌刷新时，使用的必须与生成刷新令牌的初始身份验证期间使用的应用程序客户端 ID 完全相同。

确认设备：如果您在用户池中启用了设备跟踪，但用户的设备尚未得到确认，则必须先调用 ConfirmDeviceAPI。在用户确认其设备后，您便可以交换刷新令牌。

在刷新请求中包含设备密钥：如果已启用设备跟踪，请在使用 REFRESH_TOKEN_AUTH 流程时包含唯一的设备密钥作为 AuthParameter：

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

使用 USER_SRP_AUTH 进行设备跟踪：如果您使用设备跟踪，则初始身份验证流程必须是 USER_SRP_AUTH。

检查用户池配置中定义的必需属性。

使用浏览器中的网络捕获工具检索 SAML 响应。您可能需要执行 URL 和 base64 解码。请验证该属性是否存在于 SAML 断言中。

登录您的身份提供者并查看它发送给 Amazon Cognito 的属性。请验证 IdP 是否配置为使用正确的名称发送必需属性。

对于不可变的属性，请运行以下 Amazon CLI 命令来识别它们：。aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'

在您的 IdP 的 SAML 属性映射中，删除所有以不可变 Amazon Cognito 属性为目标的映射。或者，将目标属性更新为不同的可变属性。

在 IdP 的管理控制台中，使用正确的 ACS URL 格式更新应用程序，确保其使用 HTTP POST 绑定。

默认域格式：https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

自定义域格式：https://auth.example.com/saml2/idpresponse

对于服务提供商发起的 (SP-initiated) 流程：请务必在您的用户池/oauth2/authorize终端节点上启动身份验证。在用户首次访问 Amazon Cognito 时未返回RelayState参数的 SAML 断言是无效的请求。 SP-initiated

对于身份提供者发起的 (IdP-initiated) 流：IdP 必须使用所需的格式，在/saml2/idpresponse终端节点的 SAML 断言中包含RelayState参数：。redirect_uri=REDIRECT_URI&state=STATE

对于公共应用程序：SetUserMFAPreference使用有效的访问令牌允许用户设置自己的 MFA 首选项

对于管理员管理的应用程序：使用AdminSetUserMFAPreference Amazon 凭据配置用户 MFA 首选项

检查用户的垃圾邮件文件夹。

确认用户存在于用户池中。

验证用户的状态是否不是 FORCE_CHANGE_PASSWORD。在这种情况下，用户是由管理员创建的，当他们使用临时密码登录时，Amazon Cognito 会提示他们设置密码。

检查用户是否具有经过验证的电子邮件或电话号码属性。

检查您的短信收发账户支出限额

检查您的 Amazon Simple Email Service（Amazon SES）消息发送配额。

检查短信和 Amazon SES（如果您的用户池配置为使用 Amazon SES 发送电子邮件）是否都已移出沙盒。如果他们未从沙箱中移出，则电子邮件地址或电话号码未经Amazon SES验证或 Amazon End User Messaging SMS 将无法接收密码重置码。

如果用户有处于活动状态的 MFA 因素，请检查它们是否没有尝试向同一因素生成消息。例如，电子邮件 MFA 处于活动状态的用户无法通过电子邮件发送密码重置代码。

验证恢复设置：在您的用户池中，导航至 “登录” > “用户帐户恢复”。确保启用了自助服务帐户恢复，并查看您的恢复邮件传送方式设置。

检查用户属性验证：验证用户是否拥有与您的恢复方法配置相匹配的经过验证的电子邮件地址或电话号码。在控制台中，转到用户的个人资料，选择用户属性 > 编辑，然后将相应的属性标记为已验证。

解决 MFA 冲突：首选 MFA 方法为电子邮件的用户无法通过电子邮件接收密码重置代码，使用 SMS MFA 的用户也无法通过短信接收密码。更新您的恢复消息传送方式以提供其他选项，例如短信（如果有），否则使用电子邮件或电子邮件（如果有），否则提供短信。

管理验证：当无法访问控制台时，使用 API 操作AdminUpdateUserAttributes以编程方式验证用户属性。