AWS Cognito用户池强制MFA时，如何恢复用户Authenticator 2FA？

问题背景 #

用户池已强制开启MFA，某用户丢失安装Authenticator应用的设备，无法提供登录所需的2FA验证码，且面临以下困境：

• 用户端重置2FA的操作（如setupTOTP）需有效会话，但用户无法完成登录获取会话
• 通过控制台或Admin SDK禁用该用户2FA、调用AdminSetUserMFAPreference均无效——仅取消控制台勾选框，Cognito仍判定用户已配置2FA，登录仍要求验证码
• 无直接的管理员端setupTOTP等效接口，且不愿启用SMS MFA或关闭全局MFA暴露所有用户

已尝试操作：

• 在Cognito控制台及通过Admin SDK禁用该用户的2FA设置

需求：找到无需关闭全局MFA的用户2FA重置方法，可接受自定义Cognito触发器实现。

可行解决方案 #

方法1：通过Admin API删除TOTP属性并重置MFA偏好 #

这是最直接的管理员端操作，步骤如下：

1. 调用AdminDeleteUserAttributes接口，删除用户的两个关键属性：
   • totp_secret：Cognito存储的用户TOTP密钥，删除后系统会判定用户未配置TOTP
   • cognito:mfa_enabled：标记用户是否启用MFA的属性
     示例代码（AWS SDK for JavaScript）：

   const AWS = require('aws-sdk');
   const cognito = new AWS.CognitoIdentityServiceProvider();
   
   const resetUserMFA = async () => {
     await cognito.adminDeleteUserAttributes({
       UserPoolId: '你的用户池ID',
       Username: '目标用户名',
       UserAttributeNames: ['totp_secret', 'cognito:mfa_enabled']
     }).promise();
   
     await cognito.adminSetUserMFAPreference({
       UserPoolId: '你的用户池ID',
       Username: '目标用户名',
       SoftwareTokenMfaSettings: {
         Enabled: false,
         PreferredMfa: false
       }
     }).promise();
   };
   
   resetUserMFA();
   

2. 完成操作后，用户再次登录时会进入MFA_SETUP状态，需重新配置Authenticator应用，配置完成后即可正常登录。

方法2：自定义PreAuthentication触发器临时跳过MFA #

若需支持用户自助重置（无需管理员手动介入），可通过自定义触发器实现：

1. 给目标用户添加自定义属性custom:reset_mfa，将其值设为true，标记该用户需要重置MFA
2. 创建PreAuthentication Lambda触发器，逻辑如下：
   • 检查用户的custom:reset_mfa属性是否为true
   • 若是则返回{"action": "ALLOW"}，跳过MFA验证允许用户直接登录
   • 用户登录后，引导其调用setupTOTP重新配置2FA
   • 配置完成后，将custom:reset_mfa属性设为false
     示例Lambda代码（Node.js）：

   exports.handler = async (event) => {
     const resetMfaFlag = event.request.userAttributes['custom:reset_mfa'];
     if (resetMfaFlag === 'true') {
       return { action: 'ALLOW' };
     }
     return event;
   };
   

注意：用户完成MFA重置后需及时更新custom:reset_mfa属性，避免后续登录跳过MFA带来安全风险。

内容的提问来源于stack exchange，提问作者EARonan