Resolución de problemas en Amazon Cognito

Cree un registro A para el dominio principal: debe crear un registro A en su configuración de DNS para el dominio principal de su dominio personalizado.

Verifique la propagación del DNS (opcional pero recomendable): para asegurarse de que su proveedor de DNS haya propagado el cambio, puede ejecutar un comando dig.

Elimine el registro A del dominio principal: tras crear correctamente el dominio personalizado en Amazon Cognito, puede eliminar el registro A que creó para el dominio principal si era ficticio.

Para usar el nombre de dominio para un nuevo grupo de usuarios, debe eliminar el dominio personalizado del grupo de usuarios al que está asociado actualmente.

Espera después de la eliminación: el dominio personalizado tarda un tiempo en eliminarse por completo del primer grupo de usuarios. Es posible que se siga produciendo este error al crear un nuevo dominio personalizado con el mismo nombre inmediatamente después de eliminarlo. Espere unos minutos e inténtelo de nuevo.

Opción 1: use un nombre de dominio diferente para su dominio personalizado de Amazon Cognito.

Opción 2: si utiliza el nombre de dominio de Amazon Cognito, no lo utilice con otra distribución de Amazon CloudFront.

Compruebe la región del certificado: confirme que el certificado ACM se encuentra en la región us-east-1.

Compruebe la validez del certificado: asegúrese de que el certificado seleccionado no esté caducado.

Certificados importados. Si importó el certificado a ACM, compruebe lo siguiente:

Comprobación de políticas de AWS KMS: este error puede estar provocado por una declaración deny explícita en una política AWS Key Management Service (AWS KMS) del usuario o rol de IAM que crea el dominio. Sobre todo, compruebe si hay denegaciones explícitas en acciones kms:DescribeKey, kms:CreateGrant o kms:*.

Use el mismo ID de cliente de aplicación: al llamar a la API AdminInitiateAuth o InitiateAuth al actualizar el token, debe usar exactamente el mismo ID de cliente de aplicación que se utilizó durante la autenticación inicial que generó el token de actualización.

Confirme el dispositivo: si tiene habilitado el seguimiento de dispositivos en su grupo de usuarios, pero el dispositivo del usuario no se ha confirmado, primero debe llamar a la API ConfirmDevice. Cuando el usuario confirme su dispositivo, puede intercambiar el token de actualización.

Incluya la clave del dispositivo en la solicitud de actualización: si el seguimiento del dispositivo está activado, incluya la clave única del dispositivo como AuthParameter cuando utilice el flujo REFRESH_TOKEN_AUTH:

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

Use USER_SRP_AUTH para el seguimiento de dispositivos: si utiliza el seguimiento de dispositivos, el flujo de autenticación inicial debe ser USER_SRP_AUTH.

Compruebe los atributos obligatorios definidos en la configuración de su grupo de usuarios.

Con las herramientas de captura de red de su navegador, recupere la respuesta SAML. Es posible que tenga que realizar una decodificación de URL y base64. Compruebe que el atributo esté en la aserción de SAML.

Inicie sesión en su proveedor de identidad y revise los atributos que envía a Amazon Cognito. Compruebe que el IdP esté configurado para enviar el atributo necesario con el nombre correcto.

Para los atributos inmutables, ejecute el siguiente comando de la AWS CLI para identificarlos: aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'.

En las asignaciones de atributos de SAML de su IdP, elimine todas las asignaciones que se dirijan a un atributo inmutable de Amazon Cognito. Si lo prefiere, actualice el atributo de destino a un atributo diferente y mutable.

En la consola de administración de su IdP, actualice la aplicación con el formato de URL ACS correcto y compruebe que está usando la vinculación HTTP POST.

Formato de dominio predeterminado: https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

Formato de dominio personalizado: https://auth.example.com/saml2/idpresponse

Para los flujos iniciados por el proveedor de servicios (iniciados por el SP): inicie siempre la autenticación en el punto de conexión del grupo de usuarios /oauth2/authorize. Las aserciones de SAML que no devuelven parámetros RelayState desde la visita inicial del usuario a Amazon Cognito no son solicitudes válidas iniciadas por SP.

Para los flujos iniciados por el proveedor de identidad (iniciados por el IdP): el IdP debe incluir el parámetro RelayState con la aserción SAML en el punto de conexión /saml2/idpresponse, utilizando el formato requerido (redirect_uri=REDIRECT_URI&state=STATE).

Para aplicaciones públicas: utilice SetUserMFAPreference con un token de acceso válido para que los usuarios puedan establecer sus propias preferencias de MFA

Para aplicaciones administradas por el administrador: utilice AdminSetUserMFAPreference con credenciales para configurar las preferencias de MFA

Compruebe las carpetas de correo no deseado y spam del usuario.

Confirme que el usuario existe en el grupo de usuarios.

Compruebe que el estado del usuario no sea FORCE_CHANGE_PASSWORD. Si ese es el caso, el usuario lo habrá creado un administrador y Amazon Cognito le pedirá que establezca una contraseña cuando inicie sesión con su contraseña temporal.

Compruebe que el usuario tenga un atributo de correo electrónico o número de teléfono verificados.

Comprueba el límite de gasto de su cuenta para la mensajería SMS

Consulte su cuota de envío de mensajes de Amazon Simple Email Service (Amazon SES).

Compruebe si tanto SMS como Amazon SES (en el caso de que su grupo de usuarios esté configurado para enviar correo electrónico con Amazon SES) se han retirado del entorno de pruebas. Si no se han retirado del entorno de pruebas, las direcciones de correo electrónico o los números de teléfono que no hayan sido verificados por Amazon SES o AWS End User Messaging SMS no podrán recibir códigos de restablecimiento de contraseñas.

Si el usuario tiene un factor de MFA activo, compruebe que no está intentando generar un mensaje con el mismo factor. Por ejemplo, los usuarios con el MFA de correo electrónico activo no pueden enviar códigos de restablecimiento de contraseña por correo electrónico.