AWS Cognito ClientCredentials Flow 注册下发client_secret及轮换方案问询

问题1：用户注册后自动生成并分发client_secret的实现方案 #

Cognito原生没有内置该自动流程，可通过服务组合实现你的预期流程：

• 配置Cognito用户池的Post Confirmation Lambda触发器，用户完成邮箱验证后会自动触发该Lambda函数
• 在Lambda中通过AWS SDK调用CreateUserPoolClient接口，为该用户创建专属的应用客户端，开启generate_secret参数生成client_secret
• 调用KMS接口对生成的client_secret加密后，通过AWS SES发送到用户已验证的邮箱，同时可将加密后的凭证存入DynamoDB做留底
• 注意事项：client_secret仅在应用客户端创建时返回明文，后续无法通过Cognito接口查询，必须在创建节点完成存储和分发操作；需要为Lambda配置Cognito应用客户端创建、KMS加密、SES发信的对应IAM权限

问题2：client_secret轮换的实现方案 #

• AWS Cognito原生不支持自动的client_secret轮换功能，可通过其他AWS服务组合实现
• 自动轮换方案：配置EventBridge定时规则，按你的安全策略周期触发Lambda函数，调用UpdateUserPoolClient接口重新生成client_secret，完成后自动发送通知给对应用户
• 手动轮换方案：可在你的用户控制台新增轮换入口，用户主动触发后调用上述UpdateUserPoolClient接口生成新凭证，同步通知用户
• 可选补充：将每次轮换的时间、操作人等信息存入DynamoDB，满足审计需求

其他可行建议 #

• 如果业务场景允许，可共用一个应用客户端，结合Cognito资源服务器的自定义scope做权限隔离，减少客户端管理成本；但如果需要每个厂商独立的凭证做权限管控、审计和单独禁用，还是推荐为每个用户创建独立应用客户端
• 建议将client_credentials流返回的access_token有效期设置为较短时长，降低凭证泄露后的风险
• 分发client_secret时建议附加安全提示，告知用户不要泄露凭证，尽量使用加密方式存储

内容的提问来源于stack exchange，提问作者stckvflw