通过Cognito PreSignup Lambda先内部创建用户再入用户池的方案是否合理？

你描述的方案完全可行且合理，是Cognito对接内部已有身份体系、平滑迁移鉴权链路的常用实践。

• Pre Signup Lambda触发器的原生设计就支持在Cognito创建用户前执行自定义逻辑，只有触发器正常执行、没有抛出异常时，Cognito才会继续完成用户池用户创建，完全匹配你「先建内部用户、再建Cognito用户」的时序要求。
• 内部用户创建成功后，你可以直接将生成的数据库用户ID写入Cognito用户的自定义属性（比如custom:internal_user_id），后续Pre Token生成触发器可以直接读取该属性注入到ID Token中，Api Gateway侧解析JWT就能拿到这个内部身份标识，后端服务可以直接沿用原有逻辑，不需要做额外的身份映射查询。

为了避免边界问题，建议额外做好以下逻辑：

• 配置异常回滚机制：如果内部系统创建用户成功，但后续Cognito创建用户失败（比如用户名重复、属性校验不通过等特殊情况），需要同步删除内部系统刚创建的用户，避免两边身份数据不一致。
• 提前在Cognito用户池中定义好自定义属性，internal_user_id这类固定身份标识建议设置为不可变，避免后续被意外修改导致身份匹配错误。
• Pre Token生成触发器的执行耗时不要超过Cognito的5秒配额限制，如果关联逻辑复杂建议前置到Pre Signup阶段完成，Pre Token阶段仅做属性读取注入，避免超时导致用户登录失败。

如果涉及存量旧用户迁移，可以提前将存量用户批量导入Cognito用户池，预先绑定对应的内部用户ID，不需要触发Pre Signup流程，即可实现新老用户统一鉴权。

内容的提问来源于stack exchange，提问作者Vivek