AWS Cognito设置用户级TOTP MFA时触发InvalidParameterException求助

异常原因 #

你遇到的InvalidParameterException是因为目标用户尚未完成TOTP软件令牌的注册验证流程。

AWS Cognito的规则明确：要通过AdminSetUserMFAPreference启用并设置TOTP为首选MFA，用户必须先完成TOTP设备的关联——也就是生成TOTP秘密密钥，并用该密钥生成的验证码完成验证，将设备绑定到用户账号上。直接跳过这个步骤设置MFA偏好，Cognito会判定用户没有可用的TOTP交付配置，从而抛出该异常。

正确的操作流程 #

要实现用户下次登录时触发TOTP设置流程，需要调整操作顺序：

• 先完成用户账号创建。
• 让用户通过用户名密码完成首次登录（此时MFA为Optional且未配置TOTP，不会触发MFA验证）。
• 调用AssociateSoftwareToken API生成TOTP秘密密钥，返回给用户用于绑定第三方认证工具（如Google Authenticator）。
• 用户输入TOTP验证码后，调用VerifySoftwareToken API完成设备验证，此时用户的交付配置中会关联有效的TOTP设备。
• 最后再调用AdminSetUserMFAPreference启用并设置TOTP为首选MFA，下次登录时就会触发TOTP验证流程。

补充说明 #

如果想让用户在首次登录时直接触发TOTP设置，也可以借助Cognito的用户池Lambda触发器（如PreAuthentication或PostAuthentication）引导用户完成TOTP注册流程，而非直接通过Admin API强制设置偏好。

内容的提问来源于stack exchange，提问作者pirox22