ALB/Cognito ID Token中用户Claims的Exp字段异常问题咨询

字段来源 #

你看到的这个exp字段并非来自Cognito颁发的Access Token，而是AWS Application Load Balancer（ALB）自身的会话管理机制添加的：

• ALB完成身份认证后，会创建本地会话缓存用户身份信息，避免每次请求都向Cognito/Entra ID发起验证请求。
• 这个会话默认超时时间为2分钟，ALB会将该会话的过期时间作为exp Claim注入到转发给后端应用的请求头Claims中。

是否为预期行为 #

这是完全符合预期的行为：

• Cognito Access Token的exp控制的是令牌本身的有效期，而ALB会话的exp控制的是ALB端缓存用户身份的有效期，二者是独立的机制。
• 每次刷新浏览器时，ALB会重新生成或续期会话，因此exp时间会更新为当前时间后2分钟。

调整方式 #

若需要修改这个exp的时间，无需调整Cognito的设置，只需修改ALB的身份认证配置：

• 在ALB的身份认证规则中找到会话超时选项，设置你需要的超时时长。
• 修改后，ALB注入的Claims中的exp值会对应更新为设置的超时时间。

内容的提问来源于stack exchange，提问作者Will Graham