配置Cognito授权的应用负载均衡器API无法调用如何解决？

问题根源 #

你遇到的核心错误getaddrinfo ENOTFOUND customDomain.auth.eu-central-1.amazoncognito.com本质是Cognito用户池的域名未完成部署、或ALB认证配置中填写的Cognito域名与实际部署的Cognito域名不一致，导致ALB触发认证跳转时指向了一个不存在的域名。

排查调整步骤 #

• 第一步：确认Cognito用户池域名部署状态
  进入Cognito用户池控制台→「应用集成」标签页→拉到最底部「域名」区域：
  • 如果你用的是AWS托管的Cognito域名，确认域名前缀没有输入错误，且状态显示为「已激活」，激活通常需要2-3分钟时间，刚添加完域名立刻配置ALB会出现解析失败问题
  • 如果你用的是自有自定义域名，确认DNS解析已经配置正确、SSL证书验证通过，域名状态显示为「已激活」
• 第二步：修正ALB监听器的认证配置
  进入ALB控制台→对应HTTPS监听器→「规则」→编辑带认证的规则：
  找到Cognito认证配置项，确认「用户池域名」字段填写的内容和上一步你Cognito里实际激活的域名完全一致，不要填错前缀、区域后缀，不要直接使用customDomain占位符
• 第三步：验证请求头传递逻辑
  你用Amplify登录拿到的access_token需要放在Authorization请求头中，格式为Bearer <你的access_token>，配置正确的前提下ALB会直接校验token有效性，不会触发302跳转到Cognito授权页，只有未携带token、token无效时才会跳转
• 第四步：确认安全组与网络配置
  确认ALB的安全组允许出站访问公网443端口，ALB需要主动请求Cognito的域名校验token有效性，如果ALB部署在私有子网没有公网出口，需要为子网配置NAT网关，或者添加Cognito的VPC端点

验证方法 #

配置完成后先在浏览器直接访问API地址，如果跳转的Cognito域名可以正常打开登录页，说明域名配置正确；再在Postman的请求头添加正确的Authorization: Bearer <token>，发起请求应该可以正常拿到接口返回数据，不会再出现解析错误。

内容的提问来源于stack exchange，提问作者Erik Bent