Amazon Cognito 故障排除

为父域创建 A 记录：您必须在 DNS 配置中为自定义域的父域创建 A 记录。

验证 DNS 传播（可选但推荐）：要确保您的 DNS 提供商已传播更改，您可以运行 dig 命令。

删除父域 A 记录：在 Amazon Cognito 中成功创建自定义域后，如果父域为虚拟域，则可以删除您为父域创建的 A 记录。

要为新用户池使用该域名，必须从当前与其关联的用户池中删除自定义域。

删除后等待：自定义域需要一段时间才能从第一个用户池中完全删除。删除后立即使用相同的名称创建新自定义域仍可能导致此错误。请等待几分钟，然后重试。

选项 1：为您的 Amazon Cognito 自定义域使用不同的域名。

选项 2：如果您为 Amazon Cognito 使用该域名，请不要将其与其他 Amazon CloudFront 分发结合使用。

确保证书区域：确认 ACM 证书位于 us-east-1 区域。

检查证书有效性：确保所选证书未过期。

导入的证书：如果您已将证书导入 ACM，请确保：

AWS KMS 策略检查：创建域的 IAM 用户或角色的 AWS Key Management Service（AWS KMS）策略中的显式 deny 语句可能会导致此错误。具体而言，请在 kms:DescribeKey、kms:CreateGrant 或 kms:* 操作中检查是否存在显式拒绝。

确保应用程序客户端 ID 一致：调用 AdminInitiateAuth 或 InitiateAuth API 进行令牌刷新时，使用的必须与生成刷新令牌的初始身份验证期间使用的应用程序客户端 ID 完全相同。

确认设备：如果您在用户池中启用了设备跟踪，但用户的设备尚未得到确认，则必须先调用 ConfirmDevice API。在用户确认其设备后，您便可以交换刷新令牌。

在刷新请求中包含设备密钥：如果已启用设备跟踪，请在使用 REFRESH_TOKEN_AUTH 流程时包含唯一的设备密钥作为 AuthParameter：

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

使用 USER_SRP_AUTH 进行设备跟踪：如果您使用设备跟踪，则初始身份验证流程必须是 USER_SRP_AUTH。

检查用户池配置中定义的必需属性。

使用浏览器中的网络捕获工具检索 SAML 响应。您可能需要执行 URL 和 base64 解码。请验证该属性是否存在于 SAML 断言中。

登录您的身份提供者并查看它发送给 Amazon Cognito 的属性。请验证 IdP 是否配置为使用正确的名称发送必需属性。

对于不可变属性，请运行以下 AWS CLI 命令来标识它们：aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'。

在您的 IdP 的 SAML 属性映射中，删除所有以不可变 Amazon Cognito 属性为目标的映射。或者，将目标属性更新为不同的可变属性。

在 IdP 的管理控制台中，使用正确的 ACS URL 格式更新应用程序，确保其使用 HTTP POST 绑定。

默认域格式：https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

自定义域格式：https://auth.example.com/saml2/idpresponse

对于服务提供商启动（SP 启动）的流程：请始终在您的用户池 /oauth2/authorize 端点上启动身份验证。在用户初始访问 Amazon Cognito 时未返回 RelayState 参数的 SAML 断言不是 SP 启动的有效请求。

对于身份提供者启动（IdP 启动）的流程：IdP 必须使用所需格式，在对 /saml2/idpresponse 端点的 SAML 断言中包含 RelayState 参数：redirect_uri=REDIRECT_URI&state=STATE。

对于公用应用程序：使用 SetUserMFAPreference 与有效访问令牌来允许用户设置自己的 MFA 首选项

对于管理员管理的应用程序：使用 AdminSetUserMFAPreference 与 AWS 凭证来配置用户 MFA 首选项

检查用户的垃圾邮件文件夹。

确认用户存在于用户池中。

验证用户的状态是否不是 FORCE_CHANGE_PASSWORD。在这种情况下，用户由管理员创建，当他们使用临时密码登录时，Amazon Cognito 会提示他们设置密码。

检查用户是否具有经过验证的电子邮件或电话号码属性。

检查您的短信收发账户支出限额

检查您的 Amazon Simple Email Service（Amazon SES）消息发送配额。

检查短信和 Amazon SES（如果您的用户池配置为使用 Amazon SES 发送电子邮件）是否都已移出沙盒。如果它们未从沙盒中移出，则未经 Amazon SES 或 AWS End User Messaging SMS验证的电子邮件地址或电话号码将无法接收密码重置码。

如果用户有处于活动状态的 MFA 因素，请检查它们是否没有尝试向同一因素生成消息。例如，电子邮件 MFA 处于活动状态的用户无法通过电子邮件发送密码重置代码。