使用AWS Cognito迁移触发器迁移Google、Facebook等社交账号问题咨询

你推测的社交账号迁移限制是正确的：Cognito 用户迁移 Lambda 触发器仅支持用户名/密码类型的认证流程，无法用于社交身份提供商（Google、Facebook 等）的账号迁移——这类用户的身份凭证由第三方 IdP 存储和校验，Cognito 不会留存对应密码，迁移触发器的校验逻辑无法适配社交账号的认证流程。

手动导入方案是否可行 #

手动导入是官方认可的可行方案，操作时需满足以下核心要求：

• 导出旧用户池社交用户数据时，必须完整获取对应社交用户的iss（IdP 颁发者 URL）和sub（第三方 IdP 内的用户唯一标识）字段，这两个是 Cognito 关联社交用户身份的核心匹配字段，不允许出错
• 新池创建用户时选择外部 IdP 关联用户类型，不要创建本地密码用户，填充iss、sub、邮箱、姓名等原有属性，确保和旧用户池的属性配置完全一致
• 若应用侧存储了用户关联的业务数据，需要同步更新业务数据中的用户 ID 映射，从旧用户池的用户sub映射到新用户池的用户sub

AWS 官方推荐的其他迁移方案 #

方案1：渐进式无感知迁移（官方首推，适合活跃用户占比较高的场景） #

该方案对用户完全无感知，不需要提前批量导入所有用户：

• 先在新用户池配置和旧池完全一致的 Google、Facebook 身份提供商参数，包括客户端 ID、密钥、回调地址等
• 为新用户池配置预令牌生成 Lambda 触发器：当用户首次用社交账号登录新池时，Lambda 会去旧用户池查询iss+sub匹配的旧用户数据，把旧用户的所有自定义属性、组权限等信息同步写入新创建的用户档案，同时更新业务侧的用户 ID 映射
• 等待过渡周期结束（通常设置为1-3个月，覆盖绝大多数活跃用户），再将剩余未登录的非活跃社交用户批量导入新池即可

方案2：全量批量导入（适合需要快速完成迁移的场景） #

即标准化的手动导入流程，操作步骤如下：

• 执行aws cognito-idp list-users命令导出旧用户池所有社交用户的完整属性，重点提取identities属性内的iss和sub值
• 调用aws cognito-idp admin-create-user接口批量创建新用户，参数指定UserStatus: CONFIRMED，同时在Identities参数中填充对应社交 IdP 的关联信息，无需设置密码
• 批量创建完成后做抽样校验：用测试社交账号登录新池，确认可以正常匹配已创建的用户档案，不会触发重复注册流程

注意：迁移前后必须确保两个用户池的社交 IdP 的iss值完全一致，例如 Google 的iss固定为https://accounts.google.com，如果旧池使用自定义域名的社交 IdP 配置，新池必须保持完全相同的配置，否则iss匹配失败会导致用户登录时被判定为新注册用户。

内容的提问来源于stack exchange，提问作者HMilbradt