AWS ALB集成Cognito SAML认证返回Internal 500错误排查求助

首先澄清：你日志里提到的Lambda错误是ALB内部托管的OIDC认证流程的内置组件报错，和你账号下是否配置自定义Lambda、Cognito触发器无关，无需排查自身的Lambda资源。AuthTokenEpRequestTimeout明确指向ALB向Cognito的token端点发起授权码换令牌的请求超时，常见触发原因如下：

1. VPC网络连通性异常：ALB需要主动访问你的Cognito用户池公网域名完成令牌交互，若VPC内无法正常解析、访问Cognito域名就会触发超时
2. 访问限制拦截：即便你认为无出站限制，也可能存在NACL、安全组、VPC端点配置错误的情况，拦截了ALB到Cognito的443端口出站流量
3. Cognito服务限流：当短时间内认证请求量超过Cognito令牌端点的配额上限时，接口响应延迟会大幅升高，超过ALB内置的5秒认证超时阈值
4. 配置不匹配：ALB侧配置的OIDC客户端ID、密钥和Cognito侧不匹配，或者回调地址不一致，也可能导致请求阻塞超时

• 先验证VPC内Cognito域名连通性：在和ALB同VPC同子网的云服务器上执行命令curl -v https://<你的Cognito用户池域名>/oauth2/token，只要能正常建立TLS连接（返回405状态码属于正常，因为未携带请求参数），就说明基础网络连通
• 检查网络配置合规性：
  • 确认ALB所在子网绑定了公网NAT网关，或者ALB本身分配了公网IP，具备公网访问能力
  • 检查ALB安全组的出站规则，确认放通了443端口到0.0.0.0/0或Cognito所属区域的服务IP段
  • 检查ALB所在子网的NACL规则，确认出站方向放通了443端口和临时端口段（1024-65535）的流量
  • 如果你配置了Cognito的VPC接口端点，需确认端点安全组放通了ALB所在安全组的443入站访问，同时VPC已开启私有DNS选项
• 检查Cognito配额使用情况：到AWS控制台服务配额页，查看Cognito用户池的Token endpoint rate quota配额使用情况，存在超限情况直接提交配额提升申请
• 核对配置一致性：确认ALB OIDC认证配置里的客户端ID、客户端密钥和Cognito App Client的配置完全一致，ALB侧填写的回调地址和Cognito App Client中注册的回调地址完全匹配（协议、域名、路径、端口都要一致）
• 进阶排查：开启ALB访问日志，过滤auth_error字段获取更详细的错误信息；同时开启VPC流日志，排查ALB到Cognito的流量是否存在丢弃记录

内容的提问来源于stack exchange，提问作者Darragh