Amazon Cognito のトラブルシューティング

親ドメインの A レコードを作成する: カスタムドメインの親ドメインで DNS 設定に A レコードを作成する必要があります。

DNS 伝達の検証 (オプション、ただし推奨): DNS プロバイダーが変更を伝達したことを確認するには、dig コマンドを実行できます。

親ドメインの A レコードを削除する: Amazon Cognito でカスタムドメインを正常に作成したら、親ドメイン用に作成した A レコード (ダミーである場合)を削除できます。

新しいユーザープールにドメイン名を使用するには、現在関連付けられているユーザープールからカスタムドメインを削除する必要があります。

削除後に待機する: カスタムドメインが最初のユーザープールから完全に削除されるまで時間がかかります。削除直後に同じ名前で新しいカスタムドメインを作成すると、このエラーが発生する可能性があります。数分待ってから、もう一度試してください。

オプション 1: Amazon Cognito カスタムドメインに別のドメイン名を使用します。

オプション 2: Amazon Cognito でドメイン名を使用している場合は、別の Amazon CloudFront ディストリビューションで同じ名前を使用しません。

証明書リージョンを確認する: ACM 証明書が us-east-1 リージョンにあることを確認します。

証明書の有効性を確認する: 選択した証明書の有効期限が切れていないことを確認します。

インポートした証明書: 証明書を ACM にインポートした場合は、以下を確認します。

AWS KMS ポリシーチェック: ドメインを作成する IAM ユーザーまたはロールの AWS Key Management Service (AWS KMS) ポリシー内に明示的な deny ステートメントがある場合、このエラーが発生する可能性があります。特に、kms:DescribeKey、kms:CreateGrant、または kms:* アクションの明示的な拒否を確認します。

一貫したアプリケーションクライアント ID を確認する: トークン更新のために AdminInitiateAuthまたは InitiateAuth API を呼び出すときは、最初の認証時に更新トークンの生成に使用したのとまったく同じアプリケーションクライアント ID を使用する必要があります。

デバイスを確認する: ユーザープールでデバイス追跡を有効にしていても、ユーザーのデバイスが未確認である場合は、まず ConfirmDevice API を呼び出す必要があります。ユーザーがデバイスを確認したら、更新トークンを交換できます。

更新リクエストにデバイスキーを含める: デバイス追跡が有効になっている場合は、REFRESH_TOKEN_AUTH フローの使用時に一意のデバイスキーを AuthParameter として含めます。

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

デバイス追跡に USER_SRP_AUTH を使用する: デバイス追跡を使用している場合、初期認証フローは USER_SRP_AUTH である必要があります。

ユーザープール設定に定義されている必須属性を確認します。

ブラウザでネットワークキャプチャツールを使用して、SAML レスポンスを取得します。URL と base64 のデコードが必要になる場合があります。属性が SAML アサーションに存在することを確認します。

ID プロバイダーにサインインし、プロバイダーから Amazon Cognito に送信している属性を確認します。IdP が正しい名前を使用して必須属性を送信するように設定されていることを確認します。

イミュータブルな属性の場合は、次の AWS CLI コマンドを実行して属性を特定します: aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'。

IdP の SAML 属性マッピングで、イミュータブルな Amazon Cognito 属性をターゲットとしているマッピングをすべて削除します。または、送信先属性を別の変更可能な属性に更新します。

IdP のマネジメントコンソールで、アプリケーションを更新して正しい ACS URL 形式を反映し、アプリケーションが HTTP POST バインディングを使用していることを確認します。

デフォルトドメイン形式: https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

カスタムドメイン形式: https://auth.example.com/saml2/idpresponse

サービスプロバイダーによって開始された (SP によって開始された) フローの場合: 常にユーザープールの /oauth2/authorize エンドポイントで認証を開始します。ユーザーが初めて Amazon Cognito にアクセスしたときに RelayState パラメータを返さない SAML アサーションは、SP によって開始された有効なリクエストではありません。

ID プロバイダーによって開始された (IdP によって開始された) フローの場合: IdP は、必要な形式 (redirect_uri=REDIRECT_URI&state=STATE) を使用して、/saml2/idpresponse エンドポイントへの SAML アサーションに RelayState パラメータを含める必要があります。

パブリックアプリケーションの場合: 有効なアクセストークンで SetUserMFAPreference を使用して、ユーザーが希望する MFA を選択できるよう設定します。

管理者が管理するアプリケーションの場合: AWS 認証情報で AdminSetUserMFAPreference を使用してユーザーが希望する MFA を選択できるよう設定します。

ユーザーの E メールのスパムフォルダと迷惑メールフォルダを確認します。

ユーザープールにユーザーが存在することを確認します。

ユーザーのステータスが FORCE_CHANGE_PASSWORD でないことを確認します。このステータスである場合、ユーザーは管理者によって作成されており、Amazon Cognito は、ユーザーが仮パスワードを使用してサインインするときにパスワードを設定するよう求めます。

ユーザーの E メールまたは電話番号の属性が検証済みであることを確認します。

SMS メッセージングのアカウント使用制限を確認する

Amazon Simple Email Service (Amazon SES) のメッセージ送信クォータを確認します。

SMS と Amazon SES の両方 (ユーザープールが [Amazon SES で E メールを送信] に設定されている場合) がサンドボックス外に移動されているかどうかを確認します。サンドボックス外に移動されていない場合、Amazon SES または AWS End User Messaging SMS によって検証されていない E メールアドレスまたは電話番号は、パスワードリセットコードを受信できません。

ユーザーがアクティブな MFA 要素を持っている場合は、同じ要素へのメッセージを生成しようとしていないことを確認します。例えば、E メール MFA がアクティブであるユーザーは、パスワードリセットコードを E メールで送信できません。