Cognito User Pool SAML联合身份验证报错：无法联系配置的提供商

问题描述 #

我在AWS控制台的Cognito用户池中配置了联合SAML IDP（路径：用户池>登录体验>联合身份提供商登录），此前用户可正常通过该IDP登录Cognito，但近期出现报错：

Invalid SAML response received: Unable to contact the configured provider

已核对以下配置项均无误：

• IDP侧：断言客户服务URL、实体ID、名称标识符格式、证书及字段映射
• Cognito侧：元数据URL、字段映射、用户池客户端属性

测试用户池中另一IDP（Auth0）的配置可正常工作，此报错仅针对该特定IDP集成。已查阅官方故障排查指南，但未找到对应错误的解决信息。

该错误核心是Cognito无法与目标SAML IDP建立有效通信或正确解析响应，结合已排除通用配置问题的情况，重点排查以下方向：

1. 网络连通性故障 #

• 确认SAML IDP的服务端点（元数据URL、断言URL）是否发生域名、端口或协议变更，导致Cognito无法访问。
• 检查IDP侧是否启用防火墙、WAF或IP白名单，需确保Cognito的IP范围被纳入允许列表（注意AWS Cognito的IP可能随区域或服务更新变化）。
• 直接测试访问IDP的端点（从公网或关联Cognito的VPC内），验证是否能正常获取响应，排除网络链路问题。

2. SAML证书有效性问题 #

• 核查IDP侧的SAML签名证书是否过期、被吊销，或格式不符合Cognito要求（需为完整PEM格式证书链）。
• 确认Cognito侧已同步IDP的最新证书，若IDP近期轮换证书，未同步会导致验证失败。

3. SAML响应格式或内容异常 #

• 启用Cognito的CloudWatch登录日志，捕获完整SAML响应，检查是否存在无效字段、格式错误，或缺失Cognito所需的断言属性（如名称标识符）。
• 验证IDP生成的SAML响应是否符合SAML 2.0规范，比如断言有效期（NotBefore/NotOnOrAfter）设置是否合理，避免服务器时钟不同步导致验证失败。

4. IDP侧服务或配置变更 #

• 联系该SAML IDP运维方，确认近期是否有服务升级、协议版本调整、签名算法修改等变更，这些可能破坏与Cognito的兼容性。
• 检查IDP是否启用请求签名验证，若Cognito未配置对应签名密钥，会被IDP拒绝请求。

5. Cognito元数据同步问题 #

• 若使用元数据URL配置，在Cognito控制台的该IDP页面重新保存或刷新元数据，确保Cognito获取IDP最新配置。
• 若元数据URL无法访问，尝试手动上传IDP的元数据XML文件到Cognito，排除URL访问或解析故障。

内容的提问来源于stack exchange，提问作者João Pedro Schmitt