Cognito标记登录事件为有效后仍无法解锁高风险登录请求

• 事件标记的局限性：标记Valid Event仅会消除该单次登录事件的风险记录，不会自动将对应的设备/网络环境加入信任列表。Cognito自适应认证基于实时风险特征计算，后续登录会重新评估风险，除非环境特征被明确纳入信任体系。

• 自定义认证流的上下文数据缺失
  由于使用CUSTOM_AUTH_FLOW_ONLY，必须确保自定义认证流程向Cognito传递了完整的设备/网络元数据。如果这些信息缺失或不一致，Cognito无法将后续登录与之前标记为有效的事件关联，会持续判定为未知高风险环境。

  • 在调用InitiateAuth或RespondToAuthChallenge时，需通过UserContextData参数传入设备、操作系统、网络等信息（需base64编码）：

    "UserContextData": {
      "EncodedData": "base64编码的设备指纹/网络信息字符串"
    }
    

• 手动添加信任设备
  标记事件有效不会自动信任设备，需通过API主动将设备加入用户信任列表：

  • 使用AWS CLI调用AdminConfirmDevice（设备Key可从之前的高风险事件记录或InitiateAuth响应中获取）：

    aws cognito-idp admin-confirm-device --user-pool-id 你的用户池ID --username 用户邮箱 --device-key 目标设备Key
    

  • 或通过AdminUpdateUserAttributes为用户添加cognito:device_key属性关联信任设备。

• 调整自适应认证规则
  检查用户池高级安全设置中的自适应认证规则：

  • 如果当前规则是"始终阻止高风险事件"，即使标记历史事件有效，后续环境特征的细微变化仍会触发拦截。可将动作调整为"要求MFA"，让用户通过MFA验证登录的同时，Cognito自动学习该环境为安全状态。

• 验证MFA流程的关联逻辑
  确认自定义邮箱MFA流程完成后，Cognito是否正确将MFA验证与当前设备/上下文信息绑定。如果MFA步骤未关联环境数据，Cognito不会将该登录环境标记为可信。

内容的提问来源于stack exchange，提问作者3rdSenna