使用 Lambda 触发器自定义用户池工作流

• Amazon Cognito 发送到 Lambda 触发器的事件可能会随着新功能推出而发生变化。响应和请求元素在 JSON 层次结构中的位置可能改变，或者可能会添加元素名称。在 Lambda 函数中，您预期会收到本指南中介绍的输入元素键值对，但是更严格的输入验证可能会导致您的函数失败。

• 您可以从 Amazon Cognito 发送到某些触发器的多个事件版本中选择一个。某些版本可能需要您接受对 Amazon Cognito 定价的更改。有关定价的更多信息，请参阅 Amazon Cognito 定价。要在令牌生成前 Lambda 触发器中自定义访问令牌，您必须使用精简版之外的功能计划对用户池进行配置，并更新 Lambda 触发器配置以使用事件版本 2。

• Amazon Cognito 会同步调用 Lambda 函数，但 自定义发件人 Lambda 触发器 除外。Amazon Cognito 调用您的 Lambda 函数时，函数必须在 5 秒内响应。如果并非如此，并且可以重试调用，则 Amazon Cognito 会重试调用。3 次尝试失败后，该函数将超时。您无法更改此 5 秒钟超时值。有关更多信息，请参阅《Amazon Lambda 开发人员指南》中的 Lambda 编程模型。

  Amazon Cognito 不会重试返回调用错误且 HTTP 状态代码为 500-599 的函数调用。这些代码表示配置问题导致 Lambda 无法启动该函数。有关更多信息，请参阅 Amazon Lambda 中的错误处理和自动重试。

• 您无法在 Lambda 触发器配置中声明函数版本。默认情况下，Amazon Cognito 用户池会调用您的函数的最新版本。但是，您可以将函数版本与别名相关联，并将触发器 LambdaArn 设置为 CreateUserPool 或 UpdateUserPool API 请求中的别名 ARN。此选项在Amazon Web Services 管理控制台中不可用。要了解有关别名的更多信息，请参阅《Amazon Lambda 开发人员指南》中的 Lambda 函数别名。

• 如果您删除某个 Lambda 触发器，必须更新用户池中的相应触发器。例如，如果您删除身份验证后触发器，则必须在相应用户池中将 Post authentication（身份验证后）触发器设置为 none（无）。

• 如果您的 Lambda 函数没有向 Amazon Cognito 返回请求和响应参数，或者返回错误，则身份验证事件将无法成功。您可以在函数中返回错误，以阻止用户注册、身份验证、令牌生成或其身份验证流程中任何其他调用 Lambda 触发器的阶段。

  托管登录将返回 Lambda 触发器生成的错误作为登录提示上方的错误文本。Amazon Cognito 用户池 API 以 [trigger] failed with error [error text from response] 格式返回触发器错误。最佳做法是，仅在 Lambda 函数中生成您希望用户看到的错误。使用输出方法（如 print()）将任何敏感或调试信息记录到 CloudWatch Logs 中。有关示例，请参阅注册前示例：如果用户名少于五个字符，则拒绝注册。

• 您可以将另一个 Amazon Web Services 账户中的 Lambda 函数添加为用户池的触发器。您必须使用 CreateUserPool 和 UpdateUserPool API 操作或它们在 Amazon CloudFormation 和 Amazon CLI 中的等效操作添加跨账户触发器。您无法在 Amazon Web Services 管理控制台中添加跨账户函数。

• 当您在 Amazon Cognito 控制台中添加 Lambda 触发器时，Amazon Cognito 会向您的函数添加一个基于资源的策略，允许您的用户池调用该函数。当您在 Amazon Cognito 控制台之外创建 Lambda 触发器（包括跨账户函数）时，您必须向 Lambda 函数的基于资源的策略添加权限。您添加的权限必须允许 Amazon Cognito 代表您的用户池调用函数。您可以从 Lambda 控制台添加权限或者使用 Lambda AddPermission API 操作。

  Lambda 基于资源的策略示例

  以下 Lambda 基于资源的策略示例授予 Amazon Cognito 有限调用 Lambda 函数的能力。Amazon Cognito 只能在代表 aws:SourceArn 中的用户池和 aws:SourceAccount 条件中的账户时才能调用函数。

  JSON

  {
      "Version":"2012-10-17",		 	 	 
      "Id": "default",
      "Statement": [
          {
              "Sid": "LambdaCognitoIdpTrust",
              "Effect": "Allow",
              "Principal": {
                  "Service": "cognito-idp.amazonaws.com"
              },
              "Action": "lambda:InvokeFunction",
              "Resource": "arn:aws:lambda:us-east-1:111122223333:function:MyFunction",
              "Condition": {
                  "StringEquals": {
                      "AWS:SourceAccount": "111122223333"
                  },
                  "ArnLike": {
                      "AWS:SourceArn": "arn:aws:cognito-idp:us-east-1:111122223333:userpool/us-east-1_EXAMPLE"
                  }
              }
          }
      ]
  }
  

客户端元数据使用案例示例

• 在注册时将地理位置数据传递给注册前触发器，并阻止来自非预期位置的登录请求。

• 将租户 ID 数据传递给自定义质询触发器，并向来自不同业务单位的客户发出不同的质询。

• 将用户的令牌传递给令牌生成前触发器，并生成日志，记录 M2M 请求所代表的主体。有关示例请求，请参阅基本授权的客户端凭证。