Amazon Cognito 用户池的电子邮件设置

用户池客户端应用程序中的某些事件可能导致 Amazon Cognito 向用户发送电子邮件。例如，如果您将用户池配置为需要电子邮件验证，则当用户在应用程序中注册新账户或重置其密码时，Amazon Cognito 会发送电子邮件。根据发起电子邮件递送的操作，电子邮件将包含验证码或临时密码。

为处理电子邮件递送，您可以使用以下任一选项：

这些设置是可逆的。您可以更新您的用户池以在这些设置之间切换。

默认电子邮件功能

Amazon Cognito 可以使用其默认电子邮件功能为您处理电子邮件递送。当您使用默认选项时，Amazon Cognito 会限制您的用户池每天可以发送的电子邮件数量。有关服务限制的更多信息，请参阅 Amazon Cognito 中的限额。对于典型的生产环境，默认的电子邮件限制低于所需的递送量。要启用更高的送达量，您可使用您的 Amazon SES 电子邮件配置。

当您使用默认功能时，您将使用 Amazon 管理的 Amazon SES 资源来发送电子邮件消息。Amazon SES 将返回查无此人的邮件的电子邮件地址添加到账户级禁止列表或全局禁止列表。如果无法送达的电子邮件地址稍后变为可送达，则当您的用户池配置为使用默认功能时，您无法控制将其从禁止列表中删除的行为。电子邮件地址可以无限期地保留在 Amazon 管理的禁止列表上。要管理无法送达的电子邮件地址，请将 Amazon SES 电子邮件配置与账户级别的禁止列表一起使用，如下一节中所述。

使用默认电子邮件配置时，您可以使用以下任一电子邮件地址作为 FROM 地址：

Amazon SES 电子邮件配置

您的应用程序需要的递送量可能高于默认选项所提供的递送量。要增加可能的递送量，请将您的 Amazon SES 资源与用户池一起使用来向用户发送电子邮件。当您使用自己的 Amazon SES 配置发送电子邮件消息时，您还可以监控您的电子邮件发送活动。

在可以使用您的 Amazon SES 配置之前，您必须向 Amazon SES 验证一个或多个电子邮件地址或域。将经验证的电子邮件地址或已验证域的地址，用作分配给用户池的 FROM 电子邮件地址。当 Amazon Cognito 向您的用户发送电子邮件时，它会以您的名义调用 Amazon SES 并使用您的电子邮件地址。

当您使用 Amazon SES 配置时，以下条件适用：

Amazon SES 电子邮件配置区域

当您选择 Amazon Web Services 区域而其中包含要用于 Amazon Cognito 电子邮件的 Amazon SES 资源时，您可以选择创建用户池时使用的相同区域。对于部分区域中的 Amazon Cognito 用户池，您还可以使用以下备用区域中的 Amazon SES 资源：美国东部（弗吉尼亚北部）、美国西部（俄勒冈）或欧洲（爱尔兰）。

为了使您的电子邮件操作更快、更可靠，请使用创建用户池所用的 Amazon Web Services 区域。Amazon Cognito 中支持跨区域 Amazon SES 配置，这为您创建的用户池资源提供了连续性，这些资源是为了遵守服务启动时的 Amazon Cognito 要求而创建的。您在此期间创建的用户池资源只能使用有限数量 Amazon Web Services 区域中的 Amazon SES 资源。

如果您使用 Amazon Command Line Interface、API 或 Amazon CloudFormation 创建 Amazon Cognito 用户池资源，则用户池会使用 EmailConfigurationType 对象的 SourceArn 参数为您的用户池指定的 Amazon SES 身份，发送电子邮件。Amazon SES 身份必须位于支持的 Amazon Web Services 区域中。如果您的 EmailSendingAccount 是 COGNITO_DEFAULT 而且您没有指定 SourceArn 参数，则 Amazon Cognito 使用您创建用户池所在区域中的资源，从 no-reply@verificationemail.com 发送电子邮件。

下表显示了您可以将 Amazon SES 身份用于 Amazon Cognito 的 Amazon Web Services 区域。

为您的用户池配置电子邮件

完成以下步骤为用户池配置电子邮件设置。根据您要使用的设置，您可能需要 Amazon SES、Amazon Identity and Access Management（IAM）和 Amazon Cognito 中的 IAM 权限。

步骤 1：使用 Amazon SES 验证电子邮件地址或域

在配置您的用户池之前，如果您要执行以下任一操作，则必须使用 Amazon SES 验证一个或多个电子邮件地址或域：

通过验证您的电子邮件地址或域，您确认您拥有该电子邮件地址，这有助于防止未经授权的使用。

有关使用 Amazon SES 验证电子邮件地址的更多信息，请参阅 Amazon Simple Email Service 开发人员指南中的验证电子邮件地址。有关使用 Amazon SES 验证域的信息，请参阅验证域。

步骤 2：将您的账户移出 Amazon SES 沙盒

如果您使用的是默认 Amazon Cognito 电子邮件功能，则跳过此步骤。

当您首次在任意 Amazon Web Services 区域中使用 Amazon SES 时，它会将您的 Amazon Web Services 账户放置在该区域的 Amazon SES 沙盒中。Amazon SES 使用沙盒防止欺诈和滥用。如果您使用您的 Amazon SES 配置来处理电子邮件送达，则必须将您的 Amazon Web Services 账户移出沙盒，然后 Amazon Cognito 才能向用户发送电子邮件。

在沙盒中，Amazon SES 会对您可以发送的电子邮件数量和可以发送电子邮件的位置施加限制。您可以仅向已通过 Amazon SES 验证的地址和域发送电子邮件，也可以将其发送到 Amazon SES 邮箱模拟器地址。当您的 Amazon Web Services 账户保留在沙盒中时，请勿对生产环境中的应用程序使用您的 Amazon SES 配置。在这种情况下，Amazon Cognito 无法将邮件发送到您用户的电子邮件地址。

要将您的 Amazon Web Services 账户移出沙盒，请参阅《Amazon Simple Email Service 开发人员指南》中的移出 Amazon SES 沙盒。

步骤 3：授予 Amazon Cognito 电子邮件权限

您可能需要向 Amazon Cognito 授予特定权限，然后它才能向您的用户发送电子邮件。您授予的权限以及用于授予权限的过程取决于您使用的是默认电子邮件功能还是您的 Amazon SES 配置。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "stmnt1234567891234",
            "Effect": "Allow",
            "Principal": {
                "Service": [
                    "email.cognito-idp.amazonaws.com"
                ]
            },
            "Action": [
                "SES:SendEmail",
                "SES:SendRawEmail"
            ],
            "Resource": "<your SES identity ARN>",
            "Condition": {
                "StringEquals": {
                    "aws:SourceAccount": "<your account number>"
                },
                "ArnLike": {
                    "aws:SourceArn": "<your user pool ARN>"
                }
            }
        }
    ]
}

步骤 4：配置用户池

如果您要将您的用户池配置为使用以下内容，请完成以下步骤：

如果您要使用默认 Amazon Cognito 电子邮件功能和地址，则跳过此过程。

相关主题