如何通过AWS CLI配置仅需TOTP MFA的Cognito用户池？

你遇到的错误是因为设置--mfa-configuration ON时，Cognito默认会认为你需要支持SMS+TOTP两种MFA方式，所以强制要求配置SMS相关选项。要只启用TOTP，必须显式指定MFA的允许类型为软件令牌（即TOTP），同时无需配置SMS参数。

直接用以下CLI命令即可创建仅要求TOTP MFA的用户池：

aws cognito-idp create-user-pool \
  --pool-name "你的用户池名称" \
  --mfa-configuration ON \
  --software-token-mfa-configuration Enabled=true \
  --username-attributes email \
  --auto-verified-attributes email

关键参数说明： #

• --mfa-configuration ON：强制所有用户必须使用MFA认证
• --software-token-mfa-configuration Enabled=true：启用TOTP软件令牌作为唯一MFA方式，这会覆盖Cognito默认的SMS+TOTP组合要求
• --username-attributes email：指定用邮箱作为用户登录名（可根据需求替换为其他属性，比如phone_number，但如果选手机号，不要开启自动验证手机号，否则会再次触发SMS配置要求）
• --auto-verified-attributes email：自动验证用户邮箱（可选，但推荐保留以完成正常注册流程）

执行该命令后，Cognito用户池会强制用户使用TOTP工具（如Google Authenticator）完成MFA认证，不会再要求配置SMS相关选项。

内容的提问来源于stack exchange，提问作者Revan