使用Okta SAML2与AWS Cognito的SSO流程突发401授权失败求助

针对运行多年后突发的401 Authorisation Required错误及Cloudfront相关异常，结合架构链路（Cloudfront -> ELB -> ELB认证规则 -> EC2目标组），按以下环节逐步排查：

Cloudfront层面排查 #

• 检查缓存策略：确认是否近期修改过缓存规则，导致认证相关Cookie/Header被缓存，使后续请求无法携带有效认证信息。可临时禁用缓存测试，或检查缓存键是否包含Authorization、Cookie等必要头部。
• 核查WAF规则：查看是否新增/更新WAF规则误拦截携带认证令牌的请求，通过WAF日志确认是否有匹配的拦截记录。
• 验证OAC/OAI权限：若配置了Origin Access Control（OAC）或Origin Access Identity（OAI），确认其IAM权限未被变更，确保Cloudfront可正常访问ELB源站。

ELB及认证规则排查 #

• 检查Cognito集成配置：确认ELB认证规则中关联的Cognito User Pool客户端ID、密钥是否有效，是否存在密钥轮换后未同步到ELB的情况。
• 分析ELB认证日志：开启ELB详细访问日志，过滤401请求的auth_status字段，定位认证失败具体原因（如断言过期、签名验证失败、属性不匹配）。
• 确认目标组与安全组：检查EC2目标组健康状态，同时验证ELB到EC2的安全组规则是否允许流量，排除网络层面的异常拦截。

Okta与Cognito SAML集成排查 #

• 核对Okta SAML配置：确认SAML断言的受众URI（Audience URI）与Cognito User Pool的实体ID完全一致，排查是否有近期配置变更。
• 检查SAML证书状态：确认Okta用于签名SAML断言的证书是否过期，若过期需更新至Cognito身份提供者（IdP）配置中。
• 验证Cognito IdP状态：检查Okta作为Cognito IdP的配置是否正常，是否存在元数据更新失败或IdP被禁用的情况。

令牌与会话排查 #

• 确认令牌过期配置：检查Cognito User Pool的ID Token/Access Token过期时间是否被修改，避免因会话提前失效引发401。
• 排查客户端Cookie限制：确认用户浏览器是否因隐私政策更新（如第三方Cookie限制）导致认证Cookie无法携带至后续请求，可通过浏览器开发者工具查看请求Cookie是否完整。

日志排查建议 #

• 启用Cloudfront实时日志，分析请求头部、Cookie及响应状态码细节。
• 开启ELB访问日志，重点关注elb_status_code、auth_status等字段。
• 查看Cognito用户池日志，定位认证请求的具体错误（如InvalidSAMLResponse、ExpiredToken）。

内容的提问来源于stack exchange，提问作者GwenM