AWS Cognito身份池切换认证角色后失效问题排查求助

1. 检查IAM角色的信任关系是否正确 #

• 打开IAM控制台，找到原认证角色，查看信任策略
• 确保信任策略包含Cognito身份池的服务主体，正确格式如下：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Principal": {
          "Federated": "cognito-identity.amazonaws.com"
        },
        "Action": "sts:AssumeRoleWithWebIdentity",
        "Condition": {
          "StringEquals": {
            "cognito-identity.amazonaws.com:aud": "你的身份池ID"
          },
          "ForAnyValue:StringLike": {
            "cognito-identity.amazonaws.com:amr": "authenticated"
          }
        }
      }
    ]
  }
  

• 切换角色时可能误改了信任策略，比如删除了身份池ID或amr条件，要确认这些内容完整

2. 验证身份池的角色映射配置 #

• 进入Cognito身份池控制台，打开身份池设置 -> 认证角色
• 确认当前选中的是原IAM角色，同时检查是否存在优先级更高的角色映射规则（比如基于用户池属性的映射）
• 如果之前临时添加过映射规则，即使切回默认角色，规则可能仍在生效，会覆盖默认角色分配，需要删除无关规则

3. 清除凭证缓存 #

• 用户端：让测试用户清除浏览器缓存或完全退出后重新登录，Cognito会缓存身份凭证，旧的拒绝权限可能还在缓存中
• AWS端：可以通过调用GetId或GetCredentialsForIdentity接口强制刷新凭证，确保获取最新的权限配置

4. 检查IAM角色的权限边界与直接权限 #

• 查看原IAM角色的权限边界，确认没有设置限制S3/IoT权限的边界策略
• 检查角色的直接权限策略，确保原有的S3和IoT权限完整存在，没有被误删或修改
• 用IAM控制台的策略模拟器测试该角色是否能访问目标S3存储桶和IoT资源，验证权限是否正常

5. 确认身份池的关联与状态 #

• 进入身份池的认证提供商，检查用户池ID和客户端ID是否正确，确保关联关系没被破坏
• 查看身份池状态是否为“启用”，避免因意外禁用导致的访问失败

6. 用CloudTrail日志定位具体原因 #

• 打开CloudTrail控制台，筛选身份池相关事件（比如UpdateIdentityPool、GetCredentialsForIdentity）
• 查看切换角色前后的操作记录，确认是否有配置错误
• 查看用户登录时GetCredentialsForIdentity事件的错误详情，里面会明确403的触发原因（比如角色信任失败、权限不足）

内容的提问来源于stack exchange，提问作者Sarvesh