未认证联合身份ID关联用户池：Xamarin访客凭证转换问题

嘿，我之前在Xamarin项目里折腾过类似的Cognito访客登录凭证转换问题，正好可以给你几个实用的解决方案方向：

1. 先确认Federated Identity与用户池的关联配置 #

首先得把基础配置捋清楚——你的Cognito身份池必须已经正确关联了目标用户池作为身份提供者，否则Federated Identity生成的凭证根本没法和用户池的用户挂钩：

• 登录AWS控制台，进入对应的Cognito身份池，切换到「身份提供者」标签页，检查你的用户池是否已经被添加，并且开启了「认证」权限；
• 同时要确保身份池的「授权角色」拥有足够的权限访问用户池API，比如cognito-idp:AdminInitiateAuth或cognito-idp:InitiateAuth这些必要权限。

2. 通过Cognito API直接交换令牌 #

拿到Federated Identity的AccessKey/SecretKey/Token之后，你需要主动调用Cognito用户池的API来交换得到用户池的accessToken和refreshToken。这里给你一个Xamarin C#的示例代码：

// 初始化Cognito身份提供者客户端
var cognitoClient = new AmazonCognitoIdentityProviderClient(
    new BasicAWSCredentials("你的Federated AccessKey", "你的Federated SecretKey"), 
    RegionEndpoint.你的区域);

// 构造认证请求
var authRequest = new AdminInitiateAuthRequest
{
    UserPoolId = "你的用户池ID",
    ClientId = "你的用户池应用客户端ID",
    // 指定用联邦身份认证的流程
    AuthFlow = AuthFlowType.ADMIN_AUTHENTICATE_WITH_FEDERATED_IDENTITY,
    AuthParameters = new Dictionary<string, string>
    {
        {"IDENTITY_ID", "你的Federated Identity ID"},
        {"TOKEN", "你的Federated Identity Token"}
    }
};

// 发起请求并获取令牌
var authResponse = await cognitoClient.AdminInitiateAuthAsync(authRequest);
// 从结果里提取需要的令牌
var accessToken = authResponse.AuthenticationResult.AccessToken;
var refreshToken = authResponse.AuthenticationResult.RefreshToken;

注意：如果你的用户池应用客户端没开启「允许管理员用户密码认证」，可能需要调整AuthFlow类型或者修改客户端配置。

3. 检查访客身份的属性映射规则 #

Federated Identity的访客身份需要正确映射到用户池的用户属性，否则用户池无法生成对应的用户记录：

• 回到AWS控制台的身份池配置，进入「属性映射」标签页，设置把访客身份的核心属性（比如sub）映射到用户池的对应属性；
• 没有正确的映射，用户池会无法识别这个访客身份，自然返回不了accessToken。

4. 排查Xamarin项目的SDK依赖问题 #

确保你的Xamarin项目里依赖的AWS SDK包是正确且兼容的：

• 安装AWSSDK.CognitoIdentity和AWSSDK.CognitoIdentityProvider这两个NuGet包，尽量使用最新的稳定版本；
• 针对Android/iOS平台，别忘了配置必要的网络权限，否则应用会无法调用AWS的API接口。

另外提个常见的小坑：访客身份默认是临时的，如果需要让用户下次打开应用时还能复用同一个身份，记得在Federated Identity配置里开启「访客身份持久化」，这样才能关联到用户池里的同一个用户记录。

内容的提问来源于stack exchange，提问作者Taier