Amazon Cognito 故障診斷

為父系網域建立 A 記錄：您必須在自訂網域的父系網域的 DNS 組態中建立 A 記錄。

驗證 DNS 傳播 （選用但建議）：若要確保您的 DNS 供應商已傳播變更，您可以執行 dig命令。

移除父系網域 A 記錄：在 Amazon Cognito 中成功建立自訂網域後，如果父系網域是虛擬網域，您可以移除為父系網域建立的記錄。

若要使用新使用者集區的網域名稱，您必須從目前相關聯的使用者集區中刪除自訂網域。

刪除後等待：自訂網域需要一些時間才能從第一個使用者集區完全刪除。在刪除後立即建立具有相同名稱的新自訂網域仍可能導致此錯誤。請等待幾分鐘，然後再試一次。

選項 1：為您的 Amazon Cognito 自訂網域使用不同的網域名稱。

選項 2：如果您使用 Amazon Cognito 的網域名稱，請勿將其與另一個 Amazon CloudFront 分佈搭配使用。

確保憑證區域：確認 ACM 憑證位於 us-east-1區域。

檢查憑證有效性：確定選取的憑證未過期。

匯入的憑證：如果您將憑證匯入 ACM，請確保：

AWS KMS 政策檢查：建立網域的 IAM 使用者或角色的 AWS Key Management Service (AWS KMS) 政策中的明確deny陳述式可能會導致此錯誤。具體而言，請檢查 kms:DescribeKey、 kms:CreateGrant或 kms:*動作是否有明確拒絕。

確保一致的應用程式用戶端 ID：呼叫 AdminInitiateAuth或 InitiateAuth API 進行權杖重新整理時，您必須使用與產生重新整理權杖的初始身分驗證期間所使用的完全相同的應用程式用戶端 ID。

確認裝置：如果您已在使用者集區上啟用裝置追蹤，但尚未確認使用者的裝置，您必須先呼叫 ConfirmDevice API。使用者確認其裝置後，您可以交換重新整理字符。

在重新整理請求中包含裝置金鑰：如果已啟用裝置追蹤，請在使用REFRESH_TOKEN_AUTH流程AuthParameter時將唯一裝置金鑰納入為 ：

{
  "AuthFlow": "REFRESH_TOKEN_AUTH",
  "AuthParameters": {
    "REFRESH_TOKEN": "example_refresh_token",
    "SECRET_HASH": "example_secret_hash", // Required if your app client uses a client secret
    "DEVICE_KEY": "example_device_key" 
  }
}

USER_SRP_AUTH 用於裝置追蹤：如果您使用裝置追蹤，初始身分驗證流程必須為 USER_SRP_AUTH。

檢查您的使用者集區組態中定義的必要屬性。

在瀏覽器中使用網路擷取工具，擷取 SAML 回應。您可能需要執行 URL 和 base64 解碼。驗證屬性是否存在於 SAML 聲明中。

登入您的身分提供者，並檢閱其傳送至 Amazon Cognito 的屬性。確認 IdP 已設定為使用正確的名稱傳送所需的屬性。

對於不可變屬性，請執行下列 AWS CLI 命令來識別它們：aws cognito-idp describe-user-pool --user-pool-id USER-POOL-ID --query 'UserPool.SchemaAttributes[?Mutable==`false`].Name'。

在 IdP 的 SAML 屬性映射中，刪除任何以不可變 Amazon Cognito 屬性為目標的映射。或者，將目的地屬性更新為不同的可變屬性。

在 IdP 的管理主控台中，使用正確的 ACS URL 格式更新應用程式，確保它使用HTTP POST繫結。

預設網域格式： https://cognito-idp.Region.amazonaws.com/your user pool ID/saml2/idpresponse

自訂網域格式： https://auth.example.com/saml2/idpresponse

對於服務供應商啟動 (SP 啟動） 流程：一律在您的使用者集區/oauth2/authorize端點啟動身分驗證。不會從使用者初次造訪 Amazon Cognito 傳回RelayState參數的 SAML 聲明不是有效的 SP 起始請求。

對於身分提供者起始 (IdP 起始） 流程：IdP 必須使用所需的格式，將具有 SAML 聲明的 RelayState 參數包含到/saml2/idpresponse端點：redirect_uri=REDIRECT_URI&state=STATE。

對於公有應用程式：使用 SetUserMFAPreference 搭配有效的存取字符，讓使用者設定自己的 MFA 偏好設定

對於管理員管理的應用程式：使用 AdminSetUserMFAPreference 搭配 AWS 登入資料來設定使用者 MFA 偏好設定

檢查使用者的電子郵件垃圾郵件和垃圾郵件資料夾。

確認使用者存在於使用者集區中。

確認使用者的狀態不是 FORCE_CHANGE_PASSWORD。如果是這種情況，使用者是由管理員建立，Amazon Cognito 會在他們使用臨時密碼登入時提示他們設定密碼。

檢查使用者是否具有已驗證的電子郵件或電話號碼屬性。

檢查您的帳戶的簡訊支出限制

檢查您的 Amazon Simple Email Service (Amazon SES) 訊息傳送配額。

檢查 SMS 和 Amazon SES （如果您的使用者集區設定為使用 Amazon SES 傳送電子郵件) 是否已移出沙盒。如果未從沙盒移出，Amazon SES 尚未驗證或 AWS End User Messaging SMS 無法接收密碼重設代碼的電子郵件地址或電話號碼。

如果使用者具有作用中的 MFA 因素，請檢查他們是否未嘗試產生相同因素的訊息。例如，電子郵件 MFA 作用中的使用者無法透過電子郵件傳送密碼重設代碼。