如何在AWS平台中为Web应用门户配置多因素身份认证

主流方案通过Amazon Cognito托管身份服务实现MFA，无需自研底层认证逻辑，以下是标准落地步骤：

1. 前置准备 #

• 确认Web应用已配置HTTPS访问，面向国内用户的域名需完成备案
• 确认操作账号具备Cognito、IAM相关服务的操作权限

2. 配置Cognito用户池 #

• 登录AWS控制台进入Cognito服务，选择「创建用户池」
• 按业务需求选择登录属性（邮箱、手机号、用户名等）、配置密码强度规则
• 进入「多因素认证（MFA）」配置页，选择MFA生效模式：
  • 可选模式：用户自行决定是否开启MFA
  • 强制模式：所有用户登录必须完成MFA验证
    生产环境推荐选择强制模式，避免弱认证带来的安全风险
• 勾选支持的MFA验证方式：默认勾选「认证器应用」（支持Google Authenticator、微软Authenticator等通用工具），可按需额外开启短信MFA
• 完成用户注册验证、找回密码等剩余配置后，创建用户池

3. 集成Cognito到Web应用 #

• 在用户池「应用集成」栏目创建新的应用客户端，配置回调URL、登出URL为Web应用的对应地址
• 按应用技术栈选择对应集成方案：前端JS/React/Vue项目可通过amplify auth组件快速集成，后端服务调用对应语言的AWS SDK对接Cognito接口即可
• 集成完成后先测试基础用户名密码登录流程正常可用

4. 验证MFA全流程 #

• 使用测试账号首次登录，页面会自动弹出MFA绑定引导：展示绑定二维码，使用认证器APP扫码后输入APP生成的6位动态验证码即可完成绑定
• 后续登录时，输入用户名密码后需额外输入认证器APP生成的动态验证码，校验通过后才能进入应用

5. 可选自定义配置 #

• 若需要调整MFA页面样式，可在Cognito「UI定制」栏修改登录、MFA验证页的视觉效果，也可完全自研前端页面调用Cognito的MFA验证接口实现完全自定义流程
• 若需要支持硬件密钥（YubiKey等）验证，可在用户池MFA配置页额外勾选FIDO安全密钥选项

6. 上线前校验 #

• 测试不同用户角色的MFA登录、登出逻辑正常
• 确认MFA重置、解绑流程符合业务安全要求
• 开启Cognito对应的CloudTrail日志审计，记录所有MFA验证、修改操作日志

如果你的Web应用原本就使用IAM Identity Center（原AWS SSO）做企业员工身份管理，直接在Identity Center的对应应用配置页开启MFA要求即可，无需修改应用代码。

内容的提问来源于stack exchange，提问作者bp_db