如何在AWS Cognito中配置ForceAuthn标志？支持特定集成设置吗？

官方支持现状 #

截至目前，AWS Cognito用户池的SAML集成依旧没有原生支持配置ForceAuthn标志，官方近期也未发布该功能的更新公告，和你3个月前了解的状态一致。

配置范围说明 #

不管是全局还是针对单个用户池的特定SAML集成，都没有直接的开关来开启ForceAuthn，这个需求无法通过Cognito原生配置实现。

可行替代方案 #

1. 手动构造带ForceAuthn的SAML请求 #

放弃使用Cognito托管UI，自己在前端生成符合规范的SAML AuthnRequest：

• 从用户池的SAML IdP元数据里提取SSO服务地址和SP实体ID
• 编写XML格式的AuthnRequest，在<samlp:AuthnRequest>标签里加上ForceAuthn="true"属性
• 如果IdP要求签名，对请求做签名处理，然后重定向到IdP的SSO端点

2. 用Lambda触发器强制终止会话 #

借助用户池的Lambda触发器间接实现强制登录：

• 用Pre Authentication或Pre Token Generation触发器，在认证前判断用户是否属于目标客户（可以通过用户自定义属性、租户标识等区分）
• 若是目标客户，调用AdminUserGlobalSignOut API让用户现有会话失效，这样用户必须重新输入凭证登录
• 注意：这是通过清除会话达到强制登录的效果，并非原生SAML ForceAuthn的实现，但能满足需求

3. 在IdP端配置强制认证 #

如果目标客户对应的SAML IdP是你可控的，可以直接在IdP那边针对Cognito这个SP的集成，设置强制每次认证，忽略已有的会话缓存。这种方式不需要改动Cognito的任何设置，直接在IdP层面解决问题。

内容的提问来源于stack exchange，提问作者Yoni Kohn