在SAM中如何将已存在的User Pool添加为Lambda触发器？

官方SAM规范中，AWS::Serverless::Function 资源内置的Cognito事件源类型仅支持绑定当前CloudFormation模板内创建的User Pool，直接引用外部已有User Pool会触发配置错误。

你可以通过以下两种方式完成已有User Pool和Lambda的关联：

方案1：全量在SAM模板中配置 #

无需使用SAM内置的Cognito事件源，改用原生CloudFormation资源组合完成配置：

• 正常定义你的AWS::Serverless::Function资源，无需在Events属性中声明Cognito触发器
• 添加AWS::Lambda::Permission资源，配置Cognito服务调用Lambda的权限，示例配置如下：

CognitoLambdaInvokePermission:
  Type: AWS::Lambda::Permission
  Properties:
    Action: lambda:InvokeFunction
    FunctionName: !Ref 你的Lambda函数逻辑ID
    Principal: cognito-idp.amazonaws.com
    SourceArn: arn:aws:cognito-idp:${AWS::Region}:${AWS::AccountId}:userpool/你的已有用户池ID

• 如果需要模板自动完成触发器绑定，可额外添加自定义资源调用Cognito的update_user_pool接口，将Lambda关联到对应触发器位；如果不需要模板维护关联关系，可直接跳过这一步。

方案2：半手动配置（更简便） #

• 按照方案1的步骤完成Lambda调用权限的配置并部署SAM模板
• 登录AWS控制台进入Cognito用户池管理页面，找到目标已有用户池，在「触发器」设置页中直接选择对应触发器类型，绑定你部署的Lambda函数即可生效。

注意事项 #

• 配置权限时请准确填写用户池ARN作为SourceArn，避免权限范围过大带来的安全风险
• 如果需要绑定多个Cognito触发器类型，只需为每个触发器分别配置调用权限即可
• 以上方案不受SAM内置事件源的限制，兼容所有跨模板、已存在的Cognito User Pool关联需求

内容的提问来源于stack exchange，提问作者AciD