Résoudre les problèmes liés à Amazon Cognito

Créer un enregistrement A pour le domaine parent : vous devez créer un enregistrement A dans votre configuration DNS pour le domaine parent de votre domaine personnalisé.

Vérifier la propagation du DNS (facultatif mais recommandé) : pour vous assurer que votre fournisseur DNS a propagé la modification, vous pouvez exécuter une dig commande.

Supprimer l'enregistrement A du domaine parent : après avoir créé le domaine personnalisé dans Amazon Cognito, vous pouvez supprimer l'enregistrement A que vous avez créé pour le domaine parent s'il s'agit d'un enregistrement fictif.

Pour utiliser le nom de domaine d'un nouveau groupe d'utilisateurs, vous devez supprimer le domaine personnalisé du groupe d'utilisateurs auquel il est actuellement associé.

Patientez après la suppression : la suppression complète du domaine personnalisé du premier groupe d'utilisateurs prend du temps. La création d'un nouveau domaine personnalisé portant le même nom immédiatement après sa suppression peut toujours entraîner cette erreur. Patientez quelques minutes avant de réessayer.

Option 1 : utilisez un autre nom de domaine pour votre domaine personnalisé Amazon Cognito.

Option 2 : Si vous utilisez le nom de domaine d'Amazon Cognito, ne l'utilisez pas avec une autre distribution Amazon CloudFront .

Vérifier la région du certificat : Vérifiez que le certificat ACM se trouve dans la us-east-1 région.

Vérifier la validité du certificat : assurez-vous que le certificat sélectionné n'est pas expiré.

Certificats importés : Si vous avez importé le certificat dans ACM, assurez-vous que :

AWS KMS Vérification des politiques : une deny déclaration explicite dans une stratégie AWS Key Management Service (AWS KMS) pour l'utilisateur ou le rôle IAM qui crée le domaine peut provoquer cette erreur. Plus précisément, vérifiez s'il y a des dénégations ou kms:DescribeKey des kms:CreateGrant kms:* actions explicites.

Garantissez la cohérence de l'ID client de l'application : lorsque vous appelez l'InitiateAuthAPI AdminInitiateAuth or pour actualiser le jeton, vous devez utiliser exactement le même identifiant de client d'application que celui utilisé lors de l'authentification initiale qui a généré le jeton d'actualisation.

Confirmez l'appareil : si le suivi des appareils est activé sur votre groupe d'utilisateurs, mais que l'appareil de l'utilisateur n'a pas été confirmé, vous devez d'abord appeler l'ConfirmDeviceAPI. Une fois que l'utilisateur a confirmé son appareil, vous pouvez échanger le jeton d'actualisation.

Inclure la clé de l'appareil dans la demande d'actualisation : si le suivi des appareils est activé, incluez la clé de l'appareil unique sous forme de et AuthParameter lorsque vous utilisez le REFRESH_TOKEN_AUTH flux :

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

Utilisation USER_SRP_AUTH pour le suivi des appareils : si vous utilisez le suivi des appareils, le flux d'authentification initial doit êtreUSER_SRP_AUTH.

Vérifiez les attributs requis définis dans la configuration de votre groupe d'utilisateurs.

À l'aide des outils de capture réseau de votre navigateur, récupérez la réponse SAML. Vous devrez peut-être effectuer un décodage d'URL et de base64. Vérifiez que l'attribut est présent dans l'assertion SAML.

Connectez-vous à votre fournisseur d'identité et vérifiez les attributs qu'il envoie à Amazon Cognito. Vérifiez que l'IdP est configuré pour envoyer l'attribut requis en utilisant le nom correct.

Pour les attributs immuables, exécutez la AWS CLI commande suivante pour les identifier : aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'

Dans les mappages d'attributs SAML de votre IdP, supprimez tout mappage qui cible un attribut Amazon Cognito immuable. Vous pouvez également mettre à jour l'attribut de destination avec un autre attribut mutable.

Dans la console de gestion de votre IdP, mettez à jour l'application avec le format d'URL ACS correct, en vous assurant qu'elle utilise la HTTP POST liaison.

Format de domaine par défaut : https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

Format de domaine personnalisé : https://auth.example.com/saml2/idpresponse

Pour les flux initiés par le fournisseur de services (initiés par le SP) : lancez toujours l'authentification au point de /oauth2/authorize terminaison de votre groupe d'utilisateurs. Les assertions SAML qui ne renvoient pas RelayState les paramètres de la visite initiale de l'utilisateur sur Amazon Cognito ne sont pas des demandes valides initiées par le SP.

Pour les flux initiés par le fournisseur d'identité (initiés par l'IdP) : l'IdP doit inclure le RelayState paramètre avec l'assertion SAML envoyée au point de /saml2/idpresponse terminaison, en utilisant le format requis :. redirect_uri=REDIRECT_URI&state=STATE

Pour les applications publiques : à utiliser SetUserMFAPreferenceavec un jeton d'accès valide pour permettre aux utilisateurs de définir leurs propres préférences MFA

Pour les applications gérées par l'administrateur : à utiliser AdminSetUserMFAPreferenceavec les informations d' AWS identification pour configurer les préférences MFA de l'utilisateur

Vérifiez les dossiers de spam et de courrier indésirable de l'utilisateur.

Vérifiez que l'utilisateur existe dans le groupe d'utilisateurs.

Vérifiez que le statut de l'utilisateur ne l'est pasFORCE_CHANGE_PASSWORD. Dans ce cas, l'utilisateur a été créé par un administrateur et Amazon Cognito l'invitera à définir un mot de passe lorsqu'il se connectera avec son mot de passe temporaire.

Vérifiez que l'attribut e-mail ou numéro de téléphone de l'utilisateur a été vérifié.

Vérifiez la limite de dépenses de votre compte pour les SMS

Vérifiez votre quota d'envoi de messages Amazon Simple Email Service (Amazon SES).

Vérifiez si SMS et Amazon SES (si votre groupe d'utilisateurs est configuré pour envoyer des e-mails avec Amazon SES) ont été retirés du sandbox. S'ils n'ont pas été déplacés hors du bac à sable, les adresses e-mail ou les numéros de téléphone qui n'ont pas été vérifiés par Amazon SES ou ne AWS End User Messaging SMS pourront pas recevoir de codes de réinitialisation de mot de passe.

Si l'utilisateur possède un facteur MFA actif, vérifiez qu'il n'essaie pas de générer un message avec le même facteur. Par exemple, les utilisateurs dont l'authentification MFA par e-mail est active ne peuvent pas envoyer de codes de réinitialisation de mot de passe par e-mail.