如何安全实现ASP.NET网站的AWS Cognito认证？凭据配置咨询

一、先解决硬编码凭据的核心问题 #

你之前硬编码accessKey和secretKey属于严重安全风险，AWS官方绝对不推荐这种做法。正确的方式是利用AWS SDK默认凭据链，它会自动按优先级查找有效凭据，无需手动构造BasicAWSCredentials。

修改后的核心代码 #

去掉硬编码的密钥，直接初始化客户端即可：

string poolId = Environment.GetEnvironmentVariable("cognito_pool_id");
string clientId = Environment.GetEnvironmentVariable("app_client_id");
string clientSecret = Environment.GetEnvironmentVariable("app_client_secret");

// SDK自动加载凭据，无需手动传入BasicAWSCredentials
var cognitoClient = new AmazonCognitoIdentityProviderClient(RegionEndpoint.USEast1);
var userPool = new CognitoUserPool(poolId, clientId, cognitoClient, clientSecret);

builder.Services.AddCognitoIdentity();
builder.Services.AddSingleton<IAmazonCognitoIdentityProvider>(cognitoClient);
builder.Services.AddSingleton<CognitoUserPool>(userPool);

// 其余认证配置保持不变
builder.Services
    .AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie();

builder.Services
    .ConfigureApplicationCookie(o =>
    {
        o.Cookie.HttpOnly = true;
        o.ExpireTimeSpan = TimeSpan.FromHours(1);
        o.SlidingExpiration = true;
        o.LoginPath = "/Identity/Account/Login";
        o.LogoutPath = "/Identity/Account/Logout";
    });

二、AWS凭据链的加载优先级 #

SDK会按以下顺序自动查找凭据，找到第一个有效项就停止：

• 服务器环境变量：AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY
• 本地凭据文件：Windows路径为C:\Users\<用户名>\.aws\credentials，Linux/macOS为~/.aws/credentials
• IAM角色（部署在AWS服务上时）：EC2、ECS、EKS等实例/任务关联的IAM角色，自动获取临时凭据
• AWS SSO凭据（使用Identity Center时）

三、Identity Center vs Cognito：场景选择 #

选Identity Center的情况 #

如果你的业务是企业级内部身份管理，比如让员工用统一身份登录多个AWS服务和内部应用，Identity Center更合适。它支持SAML/OIDC集成，能对接AD、Azure AD等外部身份源，统一管理用户生命周期。

继续用Cognito的情况 #

如果是面向外部用户的客户身份管理（CIAM），比如用户注册、登录你的公共网站，Cognito依然是最优选择——它专门针对客户场景优化，支持邮箱/手机号注册、MFA、自定义用户属性、Lambda触发自定义流程等功能。

四、生产服务器的凭据配置方案 #

根据部署环境不同，选择对应方式：

1. 部署在AWS内部服务（EC2/ECS/EKS/Beanstalk等） #

这是最安全的方案，无需配置任何凭据文件或环境变量：

• 创建IAM角色，给它分配访问Cognito的最小必要权限（比如cognito-idp:AdminInitiateAuth、cognito-idp:AdminGetUser等，遵循最小权限原则）
• 将该角色关联到你的EC2实例、ECS任务或EKS Pod
• AWS SDK会自动获取角色的临时凭据，无需修改代码

2. 部署在非AWS服务器（自建机房/其他云厂商） #

• 环境变量方案：在生产服务器上设置AWS_ACCESS_KEY_ID和AWS_SECRET_ACCESS_KEY环境变量
  • Windows：通过系统环境变量配置，或在应用启动脚本中设置
  • Linux/macOS：在启动脚本中添加export AWS_ACCESS_KEY_ID=xxx和export AWS_SECRET_ACCESS_KEY=xxx，或写入/etc/environment
• 凭据文件方案：在服务器上创建.aws/credentials文件，格式如下：

  [default]
  aws_access_key_id = YOUR_ACCESS_KEY
  aws_secret_access_key = YOUR_SECRET_KEY
  

  注意限制文件权限（Linux/macOS执行chmod 600 ~/.aws/credentials），避免其他用户读取

3. 切换到Identity Center的配置 #

如果改用Identity Center，需要：

• 在Identity Center中创建OIDC类型的应用集成
• 在ASP.NET中使用OIDC中间件对接Identity Center，替代原有的Cognito SDK逻辑
• 服务器无需配置长期凭据，用户通过SSO流程登录，应用获取OIDC令牌完成认证

五、额外安全建议 #

• 严格遵循最小权限原则：给IAM角色/用户只分配必要的Cognito操作权限
• 启用MFA：给所有使用长期凭据的IAM用户开启多因素认证
• 定期轮换凭据：如果使用长期凭据，定期更新并同步服务器配置
• 禁止凭据进入代码仓库：确保凭据文件、环境变量不会被意外提交到Git等版本控制系统

内容的提问来源于stack exchange，提问作者Primico