能否用AWS Cognito管理多角色用户配置？相关疑问咨询

我有一款应用，需要根据用户配置完全控制其界面显示元素：例如管理员可查看所有菜单，客户端仅能查看对应菜单，且客户端界面无“删除”按钮，仅管理员、经理等配置可见。
目前我采用以下数据表实现该控制：

• User
• Profile
• Roles
• Profile_Roles
  注：我可能需要数千个角色（Roles）和数十个用户配置（Profile）。
  这套基础结构可解决问题，但我不想维护该系统，因未来需实现改密码、MFA等非核心业务功能。查阅AWS Cognito文档后，了解它可提供诸多所需功能，但不确定能否实现“配置-角色”绑定，多次查阅仍未明确操作方法，现提出以下问题：

1. 能否在AWS Cognito中创建用户配置（Profile）？
   可以。AWS Cognito支持通过**用户属性（User Attributes）或自定义用户属性存储用户配置，也可借助用户组（User Groups）**抽象“用户配置”——将同配置的用户归为一组，共享权限规则；还能把Profile信息存在用户元数据（User Metadata）中，灵活扩展配置内容。

2. 若可以，用户配置的数量是否有上限？
   如果用自定义用户属性，单用户最多支持50个；如果用用户组替代Profile，Cognito用户池默认支持10,000个用户组，上限可提交支持工单提升；若用用户元数据，单条大小限制2KB，但数量无严格限制（总大小不超用户存储配额即可）。对你需要的数十个Profile场景完全够用。

3. 能否在AWS Cognito中创建角色（Roles）并与各用户配置绑定？
   可以。Cognito用户组可直接关联IAM角色，实现“用户配置（组）-角色”绑定；也可通过Lambda触发器在用户认证时，根据用户的Profile属性或所属组动态分配IAM角色，满足更灵活的绑定逻辑。

4. 若可以，创建的角色数量是否有上限？
   AWS IAM角色的账户级默认上限是1,000个，该上限可提交支持工单申请提升。对你需要的数千个角色场景，调整上限后即可满足需求。

5. 使用AWS Cognito是否有隐藏成本，还是仅按每月5万活跃用户计费？
   除每月前5万活跃用户免费的基础计费外，还有以下明确的额外成本：

• 超出免费额度的活跃用户：按阶梯价计费，用户越多单价越低；
• MFA相关费用：使用TOTP或SMS MFA会产生额外费用，SMS MFA按发送条数计费；
• Lambda触发器费用：若用Lambda实现自定义逻辑（如动态角色分配），按调用次数和执行时长计费；
• 数据存储与传输费用：用户数据存储、Cognito与其他AWS服务间的数据传输可能产生少量费用，占比极低。
  所有费用均会在AWS账单中明确列出，无隐藏收费项。

6. 若AWS Cognito无法实现，谷歌、微软等是否有其他SaaS可满足需求？
   有多个可选方案：

• 微软Azure AD：支持自定义角色和用户组，可通过组分配角色，还能利用自定义属性存储用户配置，同时提供MFA、密码管理等全流程身份服务；
• Google Cloud Identity Platform：支持用户组、自定义用户属性，可通过Firebase Auth或Cloud Identity的角色管理功能实现权限绑定，同样提供MFA、密码重置等功能；
• Okta：专业身份管理SaaS，支持丰富的角色、用户配置（Profile）管理，可实现细粒度权限绑定，适合复杂权限控制场景，同时提供完整的身份生命周期管理功能。

内容的提问来源于stack exchange，提问作者Junior