能否让AWS Cognito用户池拥有双密码策略？可通过自定义属性或排除用户实现吗？

AWS Cognito原生不支持在单个用户池中配置两种独立的密码策略，也没有直接选项将部分用户排除在全局密码策略之外。不过可以通过自定义逻辑实现类似需求，无需拆分用户池，以下是可行方案：

1. 自定义属性标记+Lambda触发器密码校验 #

这是最直接的实现方式，步骤如下：

• 给用户池添加自定义属性，比如custom:PasswordPolicyType，用于标记用户所属的密码策略组（例如strict表示严格策略，relaxed表示宽松策略）
• 选择合适的Lambda触发器：
  • 若要在用户注册时校验密码，用Pre Sign-Up触发器
  • 若要在用户登录或修改密码时校验，用Pre Authentication或Pre Token Generation触发器
• 在Lambda函数中根据用户的自定义属性值，执行对应的密码校验逻辑：
  • 建议将用户池的全局密码策略设为两种策略中要求最低的标准，然后在Lambda中对需要严格策略的用户追加校验；或者全局设为最高标准，对宽松策略用户放宽校验
  • 示例简化代码（Python）：

    def lambda_handler(event, context):
        # 获取用户提交的密码和策略标记
        password = event['request']['password']
        policy_type = event['request']['userAttributes'].get('custom:PasswordPolicyType', 'strict')
        
        if policy_type == 'relaxed':
            # 宽松策略：至少6位，包含字母和数字
            if len(password) < 6 or not (any(c.isalpha() for c in password) and any(c.isdigit() for c in password)):
                raise Exception("密码不符合宽松策略要求：至少6位，需包含字母和数字")
        else:
            # 严格策略：至少10位，包含大小写、数字、特殊字符
            import re
            if not re.match(r'^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[@$!%*?&])[A-Za-z\d@$!%*?&]{10,}$', password):
                raise Exception("密码不符合严格策略要求：至少10位，需包含大小写字母、数字和特殊字符")
        
        return event
    

• 注意：Lambda函数需要具备读取用户自定义属性的权限，同时要确保错误提示清晰，方便用户理解问题所在

2. 结合MFA替代密码策略差异 #

如果密码策略差异源于安全等级需求（比如普通用户用宽松密码但强制MFA，管理员用严格密码可选MFA），可以通过以下方式实现：

• 将用户池全局密码策略设为中间标准
• 通过自定义属性或用户组，给需要高安全等级的用户启用强制MFA，给普通用户启用可选MFA或不启用
• 这种方式无需额外密码校验逻辑，通过MFA弥补密码强度的差异，同时保持单用户池架构

关键注意事项 #

• Lambda校验逻辑要和全局密码策略兼容，避免出现冲突（比如全局要求8位，Lambda却允许6位，这会导致全局策略先拦截）
• 确保Lambda函数的执行效率，避免因为校验逻辑复杂导致登录/注册延迟
• 不要在Lambda中硬编码敏感规则，建议通过环境变量配置策略参数，方便后续修改

内容的提问来源于stack exchange，提问作者נועה גולן