更新AWS Cognito用户池密码策略：现有用户影响问题咨询

问题背景 #

公司新安全准则要求将密码策略从8位字符改为12位，且需包含大小写字母及特殊字符。当前使用AWS Cognito用户池管理用户，在UI中修改策略操作简单，但需明确以下对现有用户的影响：

• 用户状态是否会变为FORCE_CHANGE_PASSWORD？
• 用户是否会自动收到重置密码邮件？
• 用户下次登录时会被拒绝访问？还是新策略仅适用于新用户？
• 若上述情况均不成立，是否需要开发者通过脚本将所有用户状态改为FORCE_CHANGE_PASSWORD？（因密码已哈希，无法识别现有用户中哪些密码符合新策略）

解答 #

1. 用户状态不会自动变为FORCE_CHANGE_PASSWORD
   该状态仅在用户首次创建（分配临时初始密码）或管理员手动执行重置密码操作时才会触发，修改全局密码策略不会自动更改现有用户的状态。

2. 现有用户不会自动收到重置密码邮件
   重置密码邮件需要主动触发（比如用户自助申请重置、管理员手动发起），修改密码策略不会自动触发邮件发送。

3. 现有用户登录不受影响，新策略仅对新用户和改密用户生效
   现有用户使用旧密码仍可正常登录，新密码策略仅适用于新注册的用户，以及后续主动修改密码的现有用户——这些用户修改密码时必须符合新策略要求。

4. 需通过脚本批量修改用户状态以强制现有用户改密
   由于Cognito存储的密码是哈希值，无法直接验证现有用户密码是否符合新策略。如果要求所有用户都遵守新规则，需要开发者编写脚本调用Cognito的API（如admin_set_user_password或admin_update_user_attributes），将目标用户的状态批量设置为FORCE_CHANGE_PASSWORD。用户下次登录时会被强制跳转至改密页面，此时必须设置符合新策略的密码。

内容的提问来源于stack exchange，提问作者Mensur