能否从Cognito获取JWT对应的私钥？

• Cognito默认不对外提供私钥
  AWS Cognito的RSA256密钥对由平台托管，出于安全设计，AWS不会向用户暴露私钥，这是为了避免私钥泄露引发的认证体系风险。

• 满足Web3Auth公钥一致性要求的可行方案
  要保留Web3Auth上的历史用户信息，需保证认证服务使用的公钥与原Cognito环境一致，可通过以下步骤实现：

  1. 自行生成RSA256密钥对
     使用openssl工具生成密钥对，示例命令：

     # 生成私钥
     openssl genrsa -out private_key.pem 2048
     # 从私钥导出公钥
     openssl rsa -in private_key.pem -pubout -out public_key.pem
     

  2. 将自定义公钥导入Cognito
     在Cognito用户池的「密钥」配置页面，上传你生成的公钥，替换默认的服务托管密钥。此后Cognito将使用你提供的密钥对签发令牌，你可留存私钥用于自有认证服务。
  3. 同步Web3Auth配置
     将同一公钥配置到Web3Auth中，确保公钥完全一致，即可保留第三方平台上的历史用户信息。

• 关键注意事项

  • 私钥需严格保密，一旦泄露必须立即更换密钥对，并同步更新Cognito和Web3Auth的配置。
  • 更换Cognito密钥对后，已签发的旧令牌会失效，需通知用户重新登录获取新令牌。

内容的提问来源于stack exchange，提问作者Ahmet Yazıcı