如何通过AWS CDK修改Amplify关联Cognito用户池的验证邮件发件邮箱

问题分析 #

你当前的代码错误在于创建了一个新的Cognito用户池，而非修改Amplify已创建的现有用户池：

• fromUserPoolArn仅用于导入现有用户池的只读引用，但未被后续代码实际使用
• 直接新建CfnUserPool会生成一个全新的用户池，和Amplify关联的用户池完全无关，因此修改不会生效

正确实现代码 #

要修改现有Amplify创建的Cognito用户池的邮件配置，需通过引用现有用户池ID来更新属性，而非新建：

const cognitoUserPoolArn = cdk.Fn.ref(dependencies.auth.energycommunity.UserPoolArn);
// 从ARN中提取用户池ID（ARN格式为 arn:aws:cognito-idp:区域:账号:userpool/用户池ID）
const userPoolId = cdk.Fn.select(1, cdk.Fn.split('/', cognitoUserPoolArn));

// 引用现有用户池并更新邮件配置
const existingUserPool = new cdk.aws_cognito.CfnUserPool(this, 'ExistingUserPool', {
  userPoolId: userPoolId,
  emailConfiguration: {
    from: 'your-custom-email@example.com',
    replyToEmailAddress: 'your-reply-email@example.com',
    // 必须配置SES邮箱的ARN（需提前在SES中验证该邮箱）
    sourceArn: 'arn:aws:ses:your-region:your-account-id:identity/your-custom-email@example.com'
  }
});

// 关键：设置保留策略，防止CDK删除或替换现有Amplify用户池
existingUserPool.applyRemovalPolicy(cdk.RemovalPolicy.RETAIN);

必要前置条件 #

1. SES邮箱验证：自定义发件邮箱必须在AWS SES中完成验证（沙箱环境下还需验证收件人邮箱）
2. 权限配置：确保Cognito用户池的服务角色拥有ses:SendEmail和ses:SendRawEmail权限
3. 区域匹配：SES和Cognito用户池需处于支持SES的区域，若区域不同，需在emailConfiguration中指定region参数

内容的提问来源于stack exchange，提问作者Ilijanovic