AWS Cognito用户池用户总数查询及用户同步相关问题咨询

为什么Cognito用户池返回的是用户估计数而非精确值？ #

和联合身份用户没有关系，该设计是Cognito本身的架构和产品定位决定的。
Cognito用户池底层采用分布式多可用区存储架构，为了避免全量扫描用户数据带来的性能开销、保证所有接口的低延迟响应和高可用性，DescribeUserPool接口返回的EstimatedNumberOfUsers是定时聚合的统计值，更新频率通常为24小时，不会实时统计全量用户的精确数量。如果用户池量级达到十万、百万级，实时统计精确用户数会带来极高的资源消耗，也会影响其他核心身份接口的响应速度，所以AWS才选择提供估算值而非实时精确值。

基于Cognito做身份提供商时，是否需要在自有应用侧额外存储用户数据？ #

需要根据业务场景判断：

• 如果仅需要基础身份校验、登录态管理、Cognito内置标准属性查询能力，不需要额外存储用户数据，直接调用Cognito官方接口即可满足需求。
• 如果需要实现自定义用户属性查询、多维度用户统计、复杂用户筛选、自定义业务字段关联这类场景，就必须在自有应用侧额外存储用户数据。Cognito本身的定位是托管身份提供商，核心能力聚焦在身份认证、权限管理领域，不会提供通用数据库的复杂查询、统计能力，这是产品定位的设计选择，不是功能缺陷。

自有侧存储用户数据的同步方案实现 #

因为AppSync目前不支持用户池的原生同步，你可以通过Cognito的触发器能力实现全量数据同步，核心落地步骤如下：

• 增量数据实时同步：配置Cognito用户池的后置触发器，分别为用户注册、用户信息更新、用户删除三个场景绑定Lambda函数，当对应的用户事件发生时，Lambda会接收到Cognito推送的完整用户数据，直接写入你自有侧的数据库（比如DynamoDB、RDS等）即可。
• 存量数据初始同步：调用Cognito的ListUsers接口分页拉取所有存量用户数据，批量写入自有数据库即可，注意该接口有调用频率限制，需要做限流重试处理。
• 一致性校验：可以定期拉取Cognito用户池的用户数据和自有侧存储做比对，修正异常不一致的数据。

内容的提问来源于stack exchange，提问作者arpit