向用户池添加 MFA - Amazon Cognito
需知信息用户 MFA 首选项MFA 逻辑配置 MFA
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

向用户池添加 MFA

MFA 将您具有的某种 身份验证因素添加到您已知的 初始因素（通常是用户名和密码）中。您可以选择 SMS 短信、电子邮件或基于时间的一次性密码 (TOTP) 作为其他因素，以密码作为主要身份验证因素的用户登录。

多重身份验证（MFA）可提高应用程序中本地用户的安全性。对于联合用户，Amazon Cognito 会将所有身份验证过程委托给 IdP，并且不会为他们提供额外的身份验证因素。

注意

即使您的用户池需要 MFA，新用户首次登录您的应用程序时，Amazon Cognito 也会发放 OAuth 2.0 令牌。您的用户首次登录时的第二个身份验证因素是他们对 Amazon Cognito 发送给他们的验证消息的确认。如果您的用户池要求使用 MFA，Amazon Cognito 会提示您的用户注册一个额外的登录因素，以便在第一次之后的每次登录尝试期间使用。

借助自适应身份验证，可以将用户池配置为响应增加的风险级别需要额外的身份验证因素。要向用户池添加自适应身份验证，请参阅 具有威胁防护功能的高级安全性。

将用户池的 MFA 设置为 required 时，所有用户都必须完成 MFA 才能登录。要登录，每个用户至少设置一个 MFA 安全因素。如果需要 MFA，则必须在用户入职中包含 MFA 设置，这样您的用户池才允许他们登录。

当您将 MFA 设置为必填项时，托管登录会提示用户设置 MFA。当您在用户池中将 MFA 设置为可选时，托管登录不会提示用户。要使用可选的 MFA，您必须在应用程序中构建一个界面，以提示用户选择他们需要设置 MFA，然后引导他们完成 API 输入以验证他们的额外登录因素。

主题

关于用户池 MFA 的注意事项

在设置 MFA 之前，请考虑以下情况：

  • 用户可以拥有 MFA，也可以使用无密码因素登录。

  • 用户首选 MFA 方法会影响他们可用于恢复密码的方法。首选 MFA 方式为电子邮件的用户无法通过电子邮件接收密码重置代码。首选 MFA 方式为短信的用户无法通过短信接收密码重置代码。

    当用户不符合条件，无法使用首选密码重置方法时，您的密码恢复设置必须提供替代选项。例如，您的恢复机制可能将电子邮件列为第一优先选项，而电子邮件 MFA 可能是您的用户池中的一个选项。在这种情况下，添加短信消息账户恢复作为第二个选项，或者使用管理 API 操作为这些用户重置密码。

    的示例请求正文UpdateUserPool说明了当电子邮件密码重置不可用时，用户可以通过短信回退到恢复状态。AccountRecoverySetting

  • 用户无法通过相同的电子邮件地址或电话号码接收 MFA 和密码重置码。如果他们使用电子邮件中的一次性密码 (OTPs) 进行 MFA，则必须使用 SMS 消息进行账户恢复。如果他们使用来 OTPs 自 SMS 消息的 MFA，则必须使用电子邮件进行账户恢复。在具有 MFA 的用户池中，如果用户有电子邮件地址的属性但没有电话号码，或者有电话号码但没有电子邮件地址，则他们可能无法完成自助密码恢复。

    要防止出现用户无法在使用此配置的用户池中重置密码的状态，请根据需要设置email和phone_number属性。或者，您可以设置在用户注册或管理员创建用户配置文件时始终收集和设置这些属性的流程。当用户同时拥有这两个属性时，Amazon Cognito 会自动向目标发送密码重置代码，该代码不是用户的 MFA 因子。

  • 当您在用户池中激活 MFA 并选择短信或电子邮件作为第二个因素时，您可以向尚未在 Amazon Cognito 中验证的电话号码或电子邮件属性发送消息。在您的用户完成 MFA 后，Amazon Cognito 会phone_number_verified将其或属性设置为。email_verified true

  • 在五次尝试提交 MFA 代码均未成功后，Amazon Cognito 会开始如登录尝试失败时的锁定行为中所描述的指数超时锁定过程。

  • 如果您的账户位于包含您的用户池的亚马逊简单通知服务 (Amazon SNS) Simple Notification Service 资源的短信沙箱中，则必须先验证亚马逊 SNS 中的电话号码，然后才能发送短信。 Amazon Web Services 区域 有关更多信息，请参阅 Amazon Cognito 用户池的短信设置。

  • 要使用威胁防护更改用户的 MFA 状态以响应检测到的事件，请在 Amazon Cognito 用户池控制台中激活 MFA 并将其设置为可选。有关更多信息，请参阅 具有威胁防护功能的高级安全性。

  • 电子邮件和短信消息要求您的用户分别具有电子邮件地址和电话号码属性。您可以在用户池中将 email 或 phone_number 设置为必需的属性。在这种情况下，除非用户提供电话号码，否则他们无法完成注册。如果您未将这些属性设置为必需，但想要进行电子邮件或短信消息 MFA，则可以在用户注册时提示他们输入电子邮件地址或电话号码。妥善的做法是将用户池配置为自动向用户发送消息来验证这些属性。

    如果用户通过短信或电子邮件成功接收了临时验证码，并在 VerifyUserAttributeAPI 请求中返回了该验证码，则 Amazon Cognito 会将电话号码或电子邮件地址视为已验证。或者，您的团队可以设置电话号码，并使用执行 AdminUpdateUserAttributesAPI 请求的管理应用程序将其标记为已验证。

  • 如果您已将 MFA 设置为必需且激活了多个身份验证因素，则 Amazon Cognito 会提示新用户选择他们想要使用的 MFA 因素。用户必须有电话号码才能设置短信消息 MFA，必须有电子邮件地址才能设置电子邮件消息 MFA。如果用户没有为任何基于消息的可用 MFA 定义属性，则 Amazon Cognito 会提示他们设置 TOTP MFA。选择 MFA 因子 (SELECT_MFA_TYPE) 和设置所选因子 (MFA_SETUP) 的提示是对InitiateAuth和 AdminInitiateAuthAPI 操作的质询响应。

用户 MFA 首选项

用户可以设置多个 MFA 因素。只能激活一个因素。您可以在用户池设置中或从用户提示为用户选择有效的 MFA 首选项。当用户池设置和他们自己的用户级设置满足以下条件时，用户池会提示用户输入 MFA 验证码：

  1. 您可以在用户池中将 MFA 设置为可选或必需。

  2. 用户具有有效的email或phone_number属性，或者已为 TOTP 设置了身份验证器应用程序。

  3. 至少有一个 MFA 因素处于活动状态。

  4. 一个 MFA 因素设置为首选。

用户池设置及其对 MFA 选项的影响

用户池的配置会影响用户可以选择的 MFA 方法。以下是一些影响用户设置 MFA 能力的用户池设置。

  • 在 Amazon Cognito 控制台登录菜单的多重身份验证配置中，您可以将 MFA 设置为可选或必选，也可以将其关闭。与此设置的 API 等效项是CreateUserPoolUpdateUserPool、和的MfaConfiguration参数SetUserPoolMfaConfig。

    此外，在多重身份验证配置中，MFA 方法设置决定了用户可以设置的 MFA 因素。与该设置相当的 API 就是SetUserPoolMfaConfig操作。

  • 在 “登录” 菜单的 “用户帐户恢复” 下，您可以配置用户池向忘记密码的用户发送消息的方式。用户的 MFA 方法不能与忘记密码代码的用户池传送方法相同。忘记密码传送方法的 API 参数是和的AccountRecoverySetting参数。CreateUserPool UpdateUserPool

    例如，当您的恢复选项为 “仅限电子邮件” 时，用户无法设置电子邮件 MFA。这是因为您无法在同一个用户池中启用电子邮件 MFA 并将恢复选项设置为 “仅限电子邮件”。当您将此选项设置为 “电子邮件”（如果可用），否则设置为 “短信” 时，电子邮件是优先恢复选项，但是当用户没有资格恢复电子邮件时，您的用户池可以回退到 SMS 消息。在这种情况下，用户可以将电子邮件 MFA 设置为首选，并且只有在尝试重置密码时才能收到 SMS 消息。

  • 如果您只将一种 MFA 方法设置为可用，则无需管理用户 MFA 首选项。

  • 激活的短信配置会自动使短信成为用户池中的可用 MFA 方法。

    用户池中包含您自己的 Amazon SES 资源的活跃电子邮件配置，以及 Essentials 或 Plus 功能计划，会自动使电子邮件成为用户池中可用的 MFA 方法。

  • 在用户池中将 MFA 设置为必需时，用户无法启用或禁用任何 MFA 方法。您只能设置首选方法。

  • 当您在用户池中将 MFA 设置为可选时，托管登录不会提示用户设置 MFA，但是当用户有首选 MFA 方法时，它会提示用户输入 MFA 代码。

  • 在全功能模式下激活威胁防护并配置自适应身份验证响应时，MFA 在您的用户池中必须是可选的。自适应身份验证的其中一个响应选项是要求其登录尝试被评估为包含一定风险级别的用户进行 MFA。

    控制台 “注册” 菜单中的 “必填属性” 设置决定了用户是否必须提供电子邮件地址或电话号码才能注册您的应用程序。当用户具有相应属性时，电子邮件和短信将成为符合条件的 MFA 因素。CreateUserPool 的 Schema 参数根据需要设置属性。

  • 当您在用户池中将 MFA 设置为必填且用户使用托管登录登录时，Amazon Cognito 会提示他们从用户池的可用方法中选择一种 MFA 方法。托管登录处理电子邮件地址或电话号码的收集以及 TOTP 的设置。下图演示了 Amazon Cognito 向用户提供的选项背后的逻辑。

为用户配置 MFA 首选项

您可以在具有访问令牌授权的自助服务模式中为用户配置 MFA 首选项，或者在具有管理 API 操作的管理员管理模式中为用户配置 MFA 首选项。这些操作启用或禁用 MFA 方法，并将多种方法之一设置为首选选项。在用户设置 MFA 首选项后，Amazon Cognito 会在登录时提示他们提供来自他们首选 MFA 方法的验证码。未设置首选项的用户会收到在 SELECT_MFA_TYPE 质询中选择首选方法的提示。

  • 在用户自助服务模式或公共应用程序中 SetUserMfaPreference，使用登录用户的访问令牌进行授权，设置 MFA 配置。

  • 在管理员管理的应用程序或机密应用程序中，使用管理 Amazon 凭证进行授权 AdminSetUserPreference，设置 MFA 配置。

您还可以从 Amazon Cognito 控制台的 “用户” 菜单中设置用户 MFA 首选项。有关 Amazon Cognito 用户池 API 中的公共和机密身份验证模式的更多信息，请参阅了解 API、OIDC 和托管登录页面身份验证。

用户运行时的 MFA 逻辑详情

为了确定用户登录时要采取的步骤，您的用户池会评估用户 MFA 首选项、用户属性、用户池 MFA 设置、威胁防护操作和自助账户恢复设置。然后，它会让用户登录，提示他们选择 MFA 方法，提示他们设置 MFA 方法，或者提示他们输入 MFA。要设置 MFA 方法，用户必须提供电子邮件地址或电话号码或注册 TOT P 身份验证器。他们还可以设置 MFA 选项并提前注册首选选项。下图列出了用户池配置对初始注册后立即登录尝试的详细影响。

此处说明的逻辑适用于基于 SDK 的应用程序和托管登录登录，但在托管登录中不太明显。当您对 MFA 进行故障排除时，请从用户的结果向后移至促成决策的用户配置文件和用户池配置。

最终用户 MFA 选择的 Amazon Cognito 用户池决策过程示意图。

以下列表对应于决策逻辑图中的编号，并详细描述了每个步骤。A checkmark 表示身份验证成功且流程已结束。A error 表示身份验证失败。

  1. 用户在您的登录屏幕上显示其用户名或用户名和密码。如果他们没有出示有效的凭证，他们的登录请求就会被拒绝。

  2. 如果他们成功进行用户名密码身份验证，请确定 MFA 是必需的、可选的还是关闭的。如果禁用，则使用正确的用户名和密码即可成功进行身份验证。

    1. 如果 MFA 是可选的，请确定用户之前是否设置了 TOTP 身份验证器。如果他们设置了 TOTP，则会提示他们输入 TOTP MFA。如果他们成功回应 MFA 挑战，则表示他们已登录。

    2. 确定威胁防护的自适应身份验证功能是否要求用户设置 MFA。如果它尚未分配 MFA，则用户已登录。

  3. 如果需要 MFA 或自适应身份验证已分配 MFA，请确定用户是否已将 MFA 因子设置为启用和首选。如果有，请提示使用该因子进行 MFA。如果他们成功回应 MFA 挑战，则表示他们已登录。

  4. 如果用户尚未设置 MFA 首选项，请确定用户是否注册了 TOTP 身份验证器。

    1. 如果用户注册了 TOTP 身份验证器，请确定用户池中是否有 TOTP MFA 可用（用户先前设置身份验证器后，可以禁用 TOTP MFA）。

    2. 确定用户池中是否还提供电子邮件或短信 MFA。

    3. 如果电子邮件和短信 MFA 均不可用，请提示用户输入 TOTP MFA。如果他们成功回应 MFA 挑战，则表示他们已登录。

    4. 如果有电子邮件或短信 MFA 可用，请确定用户是否具有相应的email或phone_number属性。如果是，则任何不是自助账户恢复主要方法且已启用 MFA 的属性都可供他们使用。

    5. 使用包括 TOTP 和可用的 SMS 或电子邮件 MFA 因素在内的MFAS_CAN_SELECT选项提示用户SELECT_MFA_TYPE提出质疑。

    6. 提示用户输入他们为回应SELECT_MFA_TYPE质询而选择的因子。如果他们成功回应 MFA 挑战，则表示他们已登录。

  5. 如果用户尚未注册 TOTP 身份验证器，或者他们已注册 TOTP MFA 但当前已禁用，请确定用户是否具有或属性。email phone_number

  6. 如果用户只有电子邮件地址或只有电话号码，请确定该属性是否也是用户池用来发送账户恢复消息以进行密码重置的方法。如果为 true，则他们无法在需要 MFA 的情况下完成登录，并且 Amazon Cognito 会返回错误。要激活该用户的登录，您必须添加非恢复属性或为他们注册 TOTP 身份验证器。

    1. 如果他们有可用的非恢复电子邮件地址或电话号码，请确定是否启用了相应的电子邮件或短信 MFA 因子。

    2. 如果他们具有非恢复电子邮件地址属性并且启用了电子邮件 MFA，则提示他们提出质疑。EMAIL_OTP如果他们成功回应 MFA 挑战，则表示他们已登录。

    3. 如果他们具有不可恢复的电话号码属性并且启用了 SMS MFA，请提示他们提出质疑。SMS_MFA如果他们成功回应 MFA 挑战，则表示他们已登录。

    4. 如果他们没有符合启用电子邮件或短信 MFA 因子的资格，请确定是否启用 TOTP MFA。如果禁用 TOTP MFA，则他们无法在需要 MFA 的情况下完成登录，并且 Amazon Cognito 会返回错误。要激活该用户的登录，您必须添加非恢复属性或为他们注册 TOTP 身份验证器。

      注意

      如果用户拥有 TOTP 身份验证器，但 TOTP MFA 已被禁用，则此步骤已被评估为 “否”。

    5. 如果启用了 TOTP MFA，请在选项中MFAS_CAN_SETUP向MFA_SETUP用户提出质疑SOFTWARE_TOKEN_MFA。要完成此挑战，您必须单独为用户注册一个 TOTP 身份验证器并使用进行回复。"ChallengeName": "MFA_SETUP", "ChallengeResponses": {"USERNAME": "[username]", "SESSION": "[Session ID from VerifySoftwareToken]}"

    6. 用户使用VerifySoftwareToken请求中的会话令牌回应MFA_SETUP质询后，提示他们提出SOFTWARE_TOKEN_MFA质疑。如果他们成功回应 MFA 挑战，则表示他们已登录。

  7. 如果用户同时拥有电子邮件地址和电话号码，请确定哪个属性（如果有）是用于密码重置的帐户恢复消息的主要方法。

    1. 如果禁用了自助账户恢复，则任一属性都可用于 MFA。确定是启用电子邮件和短信 MFA 因素中的一个还是两个。

    2. 如果两个属性都作为 MFA 因子启用，则使用MFAS_CAN_SELECT选项SMS_MFA和提示用户SELECT_MFA_TYPE提出质疑。EMAIL_OTP

    3. 提示他们选择应对SELECT_MFA_TYPE挑战的因子。如果他们成功回应 MFA 挑战，则表示他们已登录。

    4. 如果只有一个属性是符合条件的 MFA 因子，则提示他们质疑其余因子。如果他们成功回应 MFA 挑战，则表示他们已登录。

      这种结果发生在以下场景中。

      1. 当它们具有email和phone_number属性时，将启用 SMS 和电子邮件 MFA，而主要的账户恢复方法是通过电子邮件或 SMS 消息。

      2. 当它们具有email和phone_number属性时，仅启用 SMS MFA 或电子邮件 MFA，并且禁用自助账户恢复。

  8. 如果用户尚未注册 TOTP 身份验证器，email也没有 nor phone_number 属性，请向他们提出质疑。MFA_SETUP中的列表MFAS_CAN_SETUP包括用户池中所有启用的 MFA 因子，这些因子不是主账户恢复选项。他们可以通过电子邮件或 TOTP MFA 来回应这一挑战。ChallengeResponses要设置 SMS MFA，请单独添加电话号码属性并重新启动身份验证。

    对于 TOTP MFA，请使用回复。"ChallengeName": "MFA_SETUP", "ChallengeResponses": {"USERNAME": "[username]", "SESSION": "[Session ID from VerifySoftwareToken]"}

    对于电子邮件 MFA，请回复。"ChallengeName": "MFA_SETUP", "ChallengeResponses": {"USERNAME": "[username]", "email": "[user's email address]"}

    1. 提示他们选择应对SELECT_MFA_TYPE挑战的因子。如果他们成功回应 MFA 挑战，则表示他们已登录。

为多因素身份验证配置用户池

您可以在 Amazon Cognito 控制台中配置 MFA，也可以使用 API 操作和 SD SetUserPoolMfaConfigK 方法进行配置。

在 Amazon Cognito 控制台中配置 MFA

  1. 登录 Amazon Cognito 控制台。

  2. 选择用户池。

  3. 从列表中选择一个现有用户池，或创建一个用户池。

  4. 选择 “登录” 菜单。找到多重身份验证并选择编辑。

  5. 选择您希望用于用户池的MFA 强制执行方法。

    来自带有 MFA 选项的 Amazon Cognito 控制台的屏幕截图。

    1. 需要 MFA。用户池中的所有用户都必须使用额外的短信、电子邮件或基于时间的一次性密码 (TOTP) 代码作为额外的身份验证因素登录。

    2. 可选 MFA。您可以为用户提供注册额外登录系数的选项，但仍允许尚未配置 MFA 的用户登录。如果您使用自适应身份验证，请选择此选项。有关自适应身份验证的更多信息，请参阅具有威胁防护功能的高级安全性。

    3. 无 MFA。您的用户无法注册其他登录安全要素。

  6. 选择您在应用程序中支持的 MFA 方法。您可以将电子邮件消息、短信或 TOTP 生成的身份验证器应用程序设置为第二个因素。

  7. 如果使用 SMS 文本消息作为第二安全要素，并且没有配置 IAM 角色与 Amazon Simple Notification Service（Amazon SNS）一起使用 SMS 消息，您可以在控制台中创建一个角色。在用户池的 “身份验证方法” 菜单中，找到 “短信”，然后选择 “编辑”。您还可以使用允许 Amazon Cognito 代表您向用户发送短信的现有角色。有关更多信息，请参阅 IAM 角色。

    如果您使用电子邮件作为第二个因素，但尚未将原始身份配置为与亚马逊简单电子邮件服务 (Amazon SES) Service 一起用于发送电子邮件，请在控制台中创建一个。必须选择 “使用 SES 发送电子邮件” 选项。在用户池的 “身份验证方法” 菜单中，找到 “电子邮件”，然后选择 “编辑”。从列表中可用的已验证身份中选择一个 FROM 电子邮件地址。例如，如果您选择经过验证的域example.com，则还必须在经过验证的域中配置 FROM 发件人姓名admin-noreply@example.com。

  8. 选择保存更改。