Problembehandlung bei Amazon Cognito

Erstellen Sie einen A-Eintrag für die übergeordnete Domain: Sie müssen in Ihrer DNS-Konfiguration einen A-Eintrag für die übergeordnete Domain Ihrer benutzerdefinierten Domain erstellen.

Überprüfen Sie die DNS-Weitergabe (optional, aber empfohlen): Um sicherzustellen, dass Ihr DNS-Anbieter die Änderung weitergegeben hat, können Sie einen dig Befehl ausführen.

A-Eintrag der übergeordneten Domain entfernen: Nachdem Sie die benutzerdefinierte Domain erfolgreich in Amazon Cognito erstellt haben, können Sie den A-Eintrag entfernen, den Sie für die übergeordnete Domain erstellt haben, falls es sich um einen Dummy-Eintrag handelt.

Um den Domainnamen für einen neuen Benutzerpool zu verwenden, müssen Sie die benutzerdefinierte Domäne aus dem Benutzerpool löschen, dem sie derzeit zugeordnet ist.

Warten Sie nach dem Löschen: Es dauert einige Zeit, bis die benutzerdefinierte Domäne vollständig aus dem ersten Benutzerpool gelöscht ist. Das Erstellen einer neuen benutzerdefinierten Domain mit demselben Namen unmittelbar nach dem Löschen kann immer noch zu diesem Fehler führen. Warten Sie ein paar Minuten, bevor Sie es erneut versuchen.

Option 1: Verwenden Sie einen anderen Domainnamen für Ihre benutzerdefinierte Amazon Cognito Cognito-Domain.

Option 2: Wenn Sie den Domainnamen für Amazon Cognito verwenden, verwenden Sie ihn nicht mit einer anderen CloudFront Amazon-Distribution.

Stellen Sie sicher, dass sich das Zertifikat in der Region befindet: Stellen Sie sicher, dass sich das ACM-Zertifikat in der Region befindet. us-east-1

Überprüfen Sie die Gültigkeit des Zertifikats: Stellen Sie sicher, dass das ausgewählte Zertifikat nicht abgelaufen ist.

Importierte Zertifikate: Wenn Sie das Zertifikat in ACM importiert haben, stellen Sie Folgendes sicher:

AWS KMS Richtlinienüberprüfung: Eine ausdrückliche deny Aussage in einer AWS Key Management Service (AWS KMS) -Richtlinie für den IAM-Benutzer oder die IAM-Rolle, die die Domäne erstellt, kann diesen Fehler verursachen. Suchen Sie insbesondere nach expliziten Ablehnungen von kms:DescribeKeykms:CreateGrant, oder Aktionen. kms:*

Stellen Sie sicher, dass die App-Client-ID einheitlich ist: Wenn Sie die InitiateAuth API AdminInitiateAuth oder für die Token-Aktualisierung aufrufen, müssen Sie genau dieselbe App-Client-ID verwenden, die bei der ersten Authentifizierung verwendet wurde, die das Aktualisierungstoken generiert hat.

Bestätigen Sie das Gerät: Wenn Sie die Geräteverfolgung in Ihrem Benutzerpool aktiviert haben, das Gerät des Benutzers jedoch nicht bestätigt wurde, müssen Sie zuerst die ConfirmDeviceAPI aufrufen. Nachdem der Benutzer sein Gerät bestätigt hat, können Sie das Aktualisierungstoken austauschen.

Geräteschlüssel in Aktualisierungsanfrage einbeziehen: Wenn die Geräteverfolgung aktiviert ist, geben Sie den eindeutigen Geräteschlüssel anAuthParameter, wenn Sie den REFRESH_TOKEN_AUTH Flow verwenden:

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

USER_SRP_AUTHFür Geräte-Tracking verwenden: Wenn Sie Geräte-Tracking verwenden, muss der anfängliche Authentifizierungsablauf aktiviert seinUSER_SRP_AUTH.

Überprüfen Sie die erforderlichen Attribute, die in Ihrer Benutzerpool-Konfiguration definiert sind.

Rufen Sie die SAML-Antwort mithilfe der Netzwerkerfassungstools in Ihrem Browser ab. Möglicherweise müssen Sie eine URL- und Base64-Dekodierung durchführen. Stellen Sie sicher, dass das Attribut in der SAML-Assertion vorhanden ist.

Melden Sie sich bei Ihrem Identitätsanbieter an und überprüfen Sie die Attribute, die er an Amazon Cognito sendet. Stellen Sie sicher, dass der IdP so konfiguriert ist, dass er das erforderliche Attribut mit dem richtigen Namen sendet.

Führen Sie für unveränderliche Attribute den folgenden AWS CLI Befehl aus, um sie zu identifizieren:. aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'

Löschen Sie in den SAML-Attributzuordnungen Ihres IdP alle Zuordnungen, die auf ein unveränderliches Amazon Cognito-Attribut abzielen. Alternativ können Sie das Zielattribut auf ein anderes, veränderbares Attribut aktualisieren.

Aktualisieren Sie die Anwendung in der Verwaltungskonsole für Ihren IdP mit dem richtigen ACS-URL-Format und stellen Sie sicher, dass sie die HTTP POST Bindung verwendet.

Standard-Domänenformat: https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

Benutzerdefiniertes Domain-Format: https://auth.example.com/saml2/idpresponse

Für vom Service Provider initiierte (SP-initiierte) Flows: Starten Sie die Authentifizierung immer an Ihrem Benutzerpool-Endpunkt. /oauth2/authorize SAML-Assertionen, die keine RelayState Parameter vom ersten Besuch des Benutzers bei Amazon Cognito zurückgeben, sind keine gültigen SP-initiierten Anfragen.

Für vom Identitätsanbieter initiierte (vom IdP initiierte) Datenflüsse: Der IdP muss den RelayState Parameter mit der SAML-Assertion an den /saml2/idpresponse Endpunkt hinzufügen und dabei das erforderliche Format verwenden:. redirect_uri=REDIRECT_URI&state=STATE

Für öffentliche Anwendungen: SetUserMFAPreferenceMit einem gültigen Zugriffstoken verwenden, damit Benutzer ihre eigenen MFA-Einstellungen festlegen können

Für vom Administrator verwaltete Anwendungen: AdminSetUserMFAPreferenceMit AWS Anmeldeinformationen verwenden, um Benutzer-MFA-Einstellungen zu konfigurieren

Überprüfen Sie die Spam- und Junk-E-Mail-Ordner des Benutzers.

Vergewissern Sie sich, dass der Benutzer im Benutzerpool vorhanden ist.

Stellen Sie sicher, dass der Status des Benutzers nicht lautetFORCE_CHANGE_PASSWORD. In diesem Fall wurde der Benutzer von einem Administrator erstellt und Amazon Cognito fordert ihn auf, ein Passwort festzulegen, wenn er sich mit seinem temporären Passwort anmeldet.

Vergewissern Sie sich, dass der Benutzer über ein verifiziertes E-Mail- oder Telefonnummernattribut verfügt.

Überprüfe das Ausgabenlimit deines Kontos für SMS-Nachrichten

Überprüfen Sie Ihr Kontingent für den Versand von Nachrichten mit Amazon Simple Email Service (Amazon SES).

Prüfen Sie, ob sowohl SMS als auch Amazon SES (wenn Ihr Benutzerpool für das Senden von E-Mails mit Amazon SES konfiguriert ist) aus der Sandbox verschoben wurden. Wenn sie nicht aus der Sandbox entfernt wurden, E-Mail-Adressen oder Telefonnummern, die nicht von Amazon SES verifiziert wurden oder AWS Endbenutzer-Messaging SMS keine Codes zum Zurücksetzen von Passwörtern erhalten können.

Wenn der Benutzer einen aktiven MFA-Faktor hat, vergewissern Sie sich, dass er nicht versucht, eine Nachricht für denselben Faktor zu generieren. Beispielsweise können Benutzer mit aktiviertem E-Mail-MFA keine Codes zum Zurücksetzen des Passworts per E-Mail senden.