已创建的AWS Cognito用户池能否不重建迁移直接启用SMS验证？

不需要新建用户池，也不需要迁移现有用户，存量仅开启邮箱验证的AWS Cognito用户池可以直接开启SMS短信验证功能，不存在仅能在创建阶段配置该选项的限制。

之前产生“配置无法修改”的误解，大多是因为旧版Cognito控制台的配置入口隐藏较深，部分区域旧控制台还存在配置项异常灰化的显示bug，并非用户池创建后锁死了SMS相关配置。

具体操作方案 #

• 前置准备
  提前创建好供Cognito使用的IAM服务角色：角色信任策略需允许cognito-idp.amazonaws.com服务代入，权限策略需授予sns:Publish等SNS短信发送必要权限，后续配置SMS时需要绑定这个角色的ARN。
• 控制台配置路径
  1. 进入目标用户池详情页，找到安全分类下的「多因素认证」板块，不要在基础信息配置页找相关选项
  2. 找到「验证方式」配置区，勾选「短信」作为可用的验证属性，按需设置验证规则：比如允许用户自主选择邮箱/短信作为验证方式，或指定优先级，也可同步将短信配置为可选的MFA验证因子
  3. 填入提前准备好的IAM角色ARN，补充短信发信人ID、短信发送归属区域等SNS配置项
  4. 进入对应应用客户端的配置页，确认客户端已开放手机号、短信验证相关接口的调用权限，保存所有配置后即时生效
• 命令行快速配置
  如果控制台配置遇到异常灰化问题，可以直接调用AWS CLI更新用户池配置，执行后即可开启SMS验证能力，参考命令如下：

  aws cognito-idp update-user-pool \
    --user-pool-id <替换为你的用户池ID> \
    --auto-verified-attributes email phone_number \
    --sms-configuration SnsCallerArn=<替换为提前创建的IAM角色ARN>,ExternalId=<自定义外部校验ID>,DefaultSenderID=<自定义短信发件人标识>
  

注意事项 #

• 配置完成后存量用户数据完全不受影响，原有邮箱验证、密码、权限等配置全部保留，不需要做任何迁移操作
• 存量老用户如果需要使用短信验证，只需要在账号中补充手机号字段、完成一次手机号校验即可正常使用
• 配置前请确认对应AWS区域的SNS短信服务已开通，且账号没有短信发送额度限制，避免配置完成后无法正常下发验证码

内容的提问来源于stack exchange，提问作者Bruno Brito