如何获取Amazon Cognito认证失败的详细日志以排查问题？

• 开启Cognito用户池高级日志记录：进入AWS控制台的Cognito用户池设置，找到「日志记录」选项，打开「错误日志」和「详细日志」，指定对应的CloudWatch日志组，这样能捕获Cognito内部处理的详细错误信息，包括Token请求阶段的具体异常。
• 查看CloudWatch Logs里的Cognito日志流：开启日志后重新触发POST oauth2/token请求，然后到对应的CloudWatch日志组查找最新日志条目，里面会有比CloudTrail更详细的错误堆栈或故障原因描述。
• 核对CloudTrail事件细节完整性：确保CloudTrail跟踪器配置了cognito-idp.amazonaws.com的所有操作，检查是否有事件被过滤。另外查看CloudTrail事件详情中的errorCode和errorMessage字段（如果存在），部分内部错误会在这里补充相关信息。
• 检查IAM权限配置：确认调用Token接口的IAM角色/用户权限足够，同时检查Cognito客户端的权限设置，比如是否允许授权码流、回调URL配置是否正确（虽然你明确不关心配置错误，但权限问题可能触发内部错误日志）。
• 用AWS CLI重新触发请求并监控实时日志：通过aws cognito-idp initiate-auth命令模拟Token请求，同时在CloudWatch控制台实时监控日志流，能更快定位错误发生时的具体日志内容。

内容的提问来源于stack exchange，提问作者Chopo87