Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

亚马逊 Cognito 的 Security Hub 控件

这些 Amazon Security Hub 控制措施用于评估 Amazon Cognito 服务和资源。这些控件可能并非全部可用 Amazon Web Services 区域。有关更多信息，请参阅 按地区划分的控件可用性。

[Cognito.1] Cognito 用户池应激活威胁防护，并使用全功能强制模式进行标准身份验证

类别：保护 > 安全访问管理

严重性：中

资源类型：AWS::Cognito::UserPool

Amazon Config 规则：cognito-user-pool-advanced-security-enabled

计划类型：已触发变更

参数：

此控件检查 Amazon Cognito 用户池是否已激活威胁防护，并将强制模式设置为全功能以进行标准身份验证。如果用户池已停用威胁防护，或者标准身份验证的强制模式未设置为全功能，则控制失败。除非您提供自定义参数值，否则 Security Hub 将使用强制模式的ENFORCED默认值设置为全功能进行标准身份验证。

创建 Amazon Cognito 用户池后，您可以激活威胁防护并自定义为应对不同风险而采取的操作。或者，您可以使用审核模式收集检测到的风险的指标，而无需采取任何安全缓解措施。在审计模式下，威胁防护会向 Amazon 发布指标 CloudWatch。在 Amazon Cognito 生成第一个事件之后，您可以看到指标。

修复

有关为 Amazon Cognito 用户池激活威胁防护的信息，请参阅 Amazon Cog nito 开发者指南中的带有威胁防护的高级安全。

[Cognito.2] Cognito 身份池不应允许使用未经身份验证的身份

类别：保护 > 安全访问管理 > 无密码身份验证

严重性：中

资源类型：AWS::Cognito::IdentityPool

Amazon Config 规则：cognito-identity-pool-unauth-access-check

计划类型：已触发变更

参数：无

此控件检查 Amazon Cognito 身份池是否配置为允许未经身份验证的身份。如果激活身份池的访客访问权限（AllowUnauthenticatedIdentities参数设置为true），则控制失败。

如果 Amazon Cognito 身份池允许未经身份验证的身份，则该身份池将向尚未通过身份提供者进行身份验证的用户（访客）提供临时 Amazon 证书。这会带来安全风险，因为它允许匿名访问 Amazon 资源。如果您停用访客访问权限，则可以帮助确保只有经过适当身份验证的用户才能访问您的 Amazon 资源，从而降低未经授权访问和潜在安全漏洞的风险。作为最佳实践，身份池应要求通过支持的身份提供商进行身份验证。如果需要未经身份验证的访问，则务必谨慎限制未经身份验证的身份的权限，并定期检查和监控其使用情况。

修复

有关停用 Amazon Cognito 身份池访客访问权限的信息，请参阅 Amazon Cognito 开发者指南中的激活或停用访客访问权限。