如何禁用Cognito UI，仅允许已知idp_identifier的SAML用户完成认证？

没问题，你的需求完全可以实现，不需要大幅调整现有认证架构，下面是几个实用的方案：

方案一：使用Cognito预认证Lambda触发器（推荐） #

这是最直接且改动最小的方案，利用Cognito的Pre Authentication Lambda Trigger在认证流程启动前拦截请求：

• 当用户尝试通过SAML登录时，触发器会接收到包含用户邮箱的认证上下文（你可以从request.userAttributes.email获取）。
• 用邮箱推导对应的idp_identifier，然后通过以下方式验证该IDP是否存在：
  • 调用Cognito的list-idps API，检查返回的身份提供商列表中是否包含目标idp_identifier；
  • 或者查询你自己的数据库/配置存储，确认该邮箱对应的IDP已被配置。
• 如果验证失败（无匹配的有效SAML提供商），直接在Lambda中抛出错误，示例代码如下：

exports.handler = async (event) => {
  const userEmail = event.request.userAttributes.email;
  const derivedIdpIdentifier = yourIdpDerivationLogic(userEmail); // 替换成你的推导逻辑

  // 验证IDP是否存在的逻辑
  const idpExists = await checkIfIdpExists(derivedIdpIdentifier);

  if (!idpExists) {
    throw new Error("No valid SAML provider found for your email address");
  }

  return event;
};

• 当Lambda抛出错误时，Cognito会直接终止认证流程，返回错误信息给用户，不会进入Cognito Hosted UI。

方案二：自定义前端登录页面，完全绕过Cognito UI #

如果需要更灵活的用户体验控制，可以在你的Web应用中实现自定义登录页面：

• 用户输入邮箱后，前端先调用你的后端接口，验证该邮箱对应的idp_identifier是否存在有效SAML提供商；
• 验证通过后，再调用Auth.federatedSignIn({ provider: derivedIdpIdentifier })直接跳转到对应的SAML提供商登录页；
• 验证失败时，直接在前端显示错误提示，根本不跳转到Cognito域名。
  这个方案彻底避免了用户接触到Cognito UI，完全由你掌控登录流程。

方案三：限制Cognito Hosted UI的访问（辅助补充） #

虽然不能直接禁用Cognito Hosted UI，但可以配合前两个方案，通过IAM策略限制只有合法用户能访问：

• 给Cognito用户池配置IAM策略，拒绝未通过预认证验证的用户访问Hosted UI资源；
• 不过这个方案不能单独使用，必须配合触发器或前端验证，否则无法精准识别有效用户。

总结 #

优先推荐方案一，只需要添加一个Lambda触发器，对现有前端代码几乎无改动；如果追求完全自定义的登录体验，方案二更合适。两种方案都能实现“仅允许已知IDP用户通过Cognito域名登录，且绝不展示Cognito UI”的目标。

内容的提问来源于stack exchange，提问作者Thom Smith