AWS Lambda获取Cognito用户失败：权限充足仍报错求助

这个错误我之前帮人排查过好几次，大概率不是权限的问题——毕竟你说用户创建、删除都正常，甚至加了管理员权限也没用，那基本可以把权限排除在外了。咱们从以下几个方向排查：

1. 检查Cognito用户池的Endpoint配置 #

这是最常见的触发原因：你在代码里指定的用户池Endpoint格式不对，或者没正确加上协议前缀（https://）。比如：

• 直接写cognito-idp.us-east-1.amazonaws.com而没加https://，SDK会因为识别不出协议抛出这个错误；
• 或者误写了Endpoint地址，比如少打了字符，导致SDK解析失败。

修复建议：
在Lambda代码里，确保Cognito客户端的Endpoint是完整的HTTPS地址，举两个常用语言的例子：

// Node.js示例
const AWS = require('aws-sdk');
const cognito = new AWS.CognitoIdentityServiceProvider({
  region: 'us-east-1',
  endpoint: 'https://cognito-idp.us-east-1.amazonaws.com' // 必须带https://前缀
});

# Python示例
import boto3
cognito = boto3.client('cognito-idp', 
                       region_name='us-east-1',
                       endpoint_url='https://cognito-idp.us-east-1.amazonaws.com')

2. 别搞混Cognito用户池和身份池的Endpoint #

不少开发者会把**Cognito用户池（Cognito Identity Provider）和Cognito身份池（Cognito Identity）**的Endpoint搞混。如果把身份池的Endpoint（格式是cognito-identity.us-east-1.amazonaws.com）用到用户池的API调用上，就会触发这个错误。

记住：调用用户池的AdminGetUser这类接口，必须用cognito-idp开头的Endpoint，且带完整HTTPS前缀。

3. 检查AWS SDK版本是否过旧 #

旧版本的AWS SDK可能存在Endpoint解析逻辑的bug，尤其是在自动推导Endpoint的场景下。比如有些老版本SDK如果没明确指定Endpoint，在部分区域或特殊配置下会无法正确识别协议。

修复建议：
把Lambda里的AWS SDK升级到最新稳定版，比如Node.js更新aws-sdk包，Python更新boto3和botocore依赖。

4. 排查代理或自定义Endpoint配置 #

如果你的Lambda配置了自定义代理，或者代码里设置了HTTP_PROXY、HTTPS_PROXY这类环境变量，可能会干扰SDK对Endpoint协议的识别。

修复建议：
先检查Lambda的环境变量，若有非必需的代理配置，暂时移除后测试是否解决问题。

内容的提问来源于stack exchange，提问作者Alexander Petrov