AWS Cognito JWT签名密钥未自动轮换，如何配置密钥轮换？

AWS Cognito原生不支持自动轮换JWT签名密钥，但可以通过以下两种方式手动/半自动化实现：

• 手动轮换自定义签名密钥
  若用户池使用自定义域名，可配置自定义签名密钥替代Cognito默认密钥：

  1. 生成新的RSA密钥对（推荐使用2048位以上密钥）
  2. 进入Cognito控制台，找到目标用户池的「App integration」→「Domain name」→「Custom signature keys」页面
  3. 上传新密钥，Cognito默认会保留新旧密钥7天，确保已签发的旧令牌仍能被验证
  4. 等待足够时间后，删除旧密钥完成轮换

• Lambda触发半自动化轮换
  通过定时任务+Lambda实现密钥自动更新：

  1. 编写Lambda函数，调用AWS KMS生成RSA密钥对，再通过UpdateUserPoolDomain API更新Cognito的自定义签名密钥
  2. 配置CloudWatch Events定时触发该Lambda（比如每月一次）
  3. 确保Lambda拥有cognito-idp:UpdateUserPoolDomain和kms:GenerateDataKeyPair等相关权限
  4. 函数中需处理新旧密钥的过渡逻辑，保留旧密钥足够周期避免令牌验证失败

注意：如果使用Cognito默认签名密钥，目前无法主动轮换，仅能依赖AWS官方在特殊场景（如密钥泄露）下的被动更新。

内容的提问来源于stack exchange，提问作者alvgarvilla