AWS Cognito可选MFA场景下如何为用户重置或重新生成TOTP令牌

问题根因 #

你之前调用的SetUserMFAPreference是用户自服务接口，必须传入已登录用户的访问令牌才能生效，未登录状态下调用自然不会生效，用户登录仍会触发TOTP挑战。

可行解决方案 #

方案1：管理员侧禁用指定用户的MFA #

直接调用管理员权限级别的AdminSetUserMFAPreference接口，该接口仅需要你的服务端持有具备Cognito管理员操作权限的IAM凭证，不需要用户的访问令牌。
调用参数示例：

{
  "UserPoolId": "你的用户池ID",
  "Username": "目标用户用户名",
  "SoftwareTokenMfaSettings": {
    "Enabled": false,
    "PreferredMfa": false
  }
}

调用完成后，该用户的TOTP MFA会被直接禁用，下次登录不会触发TOTP挑战，用户登录成功后可自行调用AssociateSoftwareToken重新绑定新的TOTP令牌。

方案2：搭建自助重置MFA流程 #

如果不想每次都由人工操作管理员接口，可在业务侧增加自助重置入口：

• 让用户在登录触发MFA挑战时选择「丢失TOTP设备」
• 引导用户完成邮箱/短信等二级身份验证
• 验证通过后，你的后端服务调用AdminSetUserMFAPreference接口禁用该用户的TOTP MFA
• 引导用户重新登录后自行绑定新的TOTP设备

方案3：直接重置用户TOTP关联状态 #

如果不需要完全禁用MFA，可调用AdminDisableProviderForUser接口，指定ProviderType为SoftwareTokenMFA，直接解除用户当前绑定的TOTP关联，用户下次登录时会自动进入TOTP绑定流程，不需要先禁用再重新开启。
调用参数示例：

{
  "UserPoolId": "你的用户池ID",
  "User": {
    "ProviderName": "Cognito",
    "ProviderAttributeName": "Username",
    "ProviderAttributeValue": "目标用户用户名"
  },
  "ProviderTypes": ["SoftwareTokenMFA"]
}

注意事项 #

• 所有管理员级别的Cognito接口必须在你的服务端调用，禁止暴露给前端直接调用，避免出现越权风险
• 如果你的用户池配置了自适应认证，禁用用户MFA后不需要额外修改自适应认证规则，Cognito会自动识别用户当前的MFA状态

内容的提问来源于stack exchange，提问作者Juan Luis