如何在Amplify应用中实现管理员对其他用户的管理功能

Amplify 提供的客户端 Auth 类是面向普通用户操作自身账户的封装，出于权限安全的设计，默认不提供直接操作其他用户信息的方法，你可以通过以下两种成熟方案实现需求：

方案一：使用官方 Admin Queries API（推荐） #

这是 Amplify 官方提供的专门适配管理员用户管理场景的能力，无需手动编写大量后端代码：

• 第一步：在项目根目录执行 Amplify CLI 命令更新 Auth 配置：amplify update auth，在交互选项中选择「Add admin queries API」，按照提示配置允许执行管理员操作的用户组（例如新建 ADMIN 组，仅该组成员可调用管理接口）。
• 第二步：配置完成后执行 amplify push 部署后端资源，Amplify 会自动生成对应的 API 端点、IAM 权限和预定义的管理接口，包含更新用户属性、查询用户信息、禁用用户等常用管理员操作。
• 第三步：前端调用接口前先校验当前登录用户所属用户组，确认拥有管理员权限后再调用对应接口，更新用户属性的示例代码如下：

import { API, Auth } from 'aws-amplify';

const updateTargetUserAttributes = async (targetUsername, attributes) => {
  // 校验当前用户是否属于管理员组
  const currentUserGroups = (await Auth.currentSession()).getAccessToken().payload['cognito:groups'] || [];
  if (!currentUserGroups.includes('ADMIN')) throw new Error('无操作权限');

  return API.post('AdminQueries', '/updateUserAttributes', {
    body: {
      username: targetUsername,
      attributes: attributes
    },
    headers: {
      Authorization: `${(await Auth.currentSession()).getAccessToken().getJwtToken()}`
    }
  });
}

方案二：自定义 Lambda + API 实现 #

如果需要定制特殊的管理逻辑，可以自行实现后端服务：

• 新建 Lambda 函数，为函数分配 Cognito 用户池的管理员操作权限，例如 cognito-idp:AdminUpdateUserAttributes、cognito-idp:AdminGetUser 等必要权限。
• 在 Lambda 内编写用户属性操作逻辑，同时增加管理员权限校验逻辑，校验调用者的用户组身份。
• 通过 Amplify API 组件将该 Lambda 暴露为 REST 接口，前端校验权限后调用该接口完成操作即可。

注意事项 #

• 所有跨用户的管理操作必须经过后端权限校验，禁止直接在前端硬编码管理员凭证调用 Cognito 接口，避免凭证泄露导致的安全风险。
• 建议仅给必要的用户分配管理员组权限，尽量缩小可操作用户的范围。

内容的提问来源于stack exchange，提问作者Martin Rojas