如何让AWS IAM用户通过AWS Cognito用户池完成身份验证？

Hey there，作为AWS新手，你遇到的这个问题其实有几个AWS原生方案可以解决，完全不需要把IAM用户导入到Cognito用户池里！咱们来逐个拆解：

1. 将AWS IAM配置为Cognito用户池的身份提供商（IdP） #

这是最直接的原生方案，能让IAM用户用自己的IAM凭证直接登录Cognito，无需导入用户到用户池。操作步骤如下：

• 登录AWS控制台，进入你的Cognito用户池，切换到身份提供商选项卡，添加IAM作为新的身份提供商。
• 配置IAM角色的信任关系：创建一个IAM角色，允许cognito-idp.amazonaws.com作为主体来扮演该角色，这个角色会负责为认证后的用户映射权限。
• 设置属性映射：把IAM用户的属性（比如用户名、邮箱）映射到Cognito用户池的用户属性，Cognito会为会话生成临时用户记录（不会永久存储在用户池里）。
• 更新应用登录流程：添加“使用AWS IAM登录”的选项，借助AWS SDK的Auth.federatedSignIn方法，指定IAM作为提供商，用用户的IAM访问密钥和密钥ID完成认证。

这个方案适合IAM用户数量不多，且希望沿用现有Cognito流程的场景。

2. 使用AWS IAM Identity Center（原AWS SSO）作为中间身份层 #

如果你有大量IAM用户，或者需要统一管理权限，IAM Identity Center会是更合适的选择：

• 先把现有IAM用户导入到IAM Identity Center（也可以直接在Identity Center里创建用户并关联IAM权限）。
• 在Cognito用户池中添加SAML 2.0作为身份提供商，然后将IAM Identity Center配置为SAML IdP，生成对应的元数据并导入到Cognito中。
• 在IAM Identity Center里配置应用：把你的Cognito应用添加为已批准应用，设置Identity Center和Cognito之间的属性映射。
• 用户可以通过IAM Identity Center门户登录，然后单点登录到你的应用，Cognito会处理认证握手并生成有效的用户会话。

这个方案适合企业级场景，能统一管理用户在多个AWS服务和应用中的访问权限。

3. 直接使用IAM联合身份池（跳过Cognito用户池） #

如果你的应用不需要Cognito用户池的高级功能（比如自定义用户属性、内置MFA、用户管理UI），可以直接用IAM联合身份池来实现认证：

• 创建或使用已有的IAM联合身份池，在设置中启用IAM作为认证提供商。
• 配置IAM角色：为已认证的IAM用户分配对应的角色，定义他们能访问的AWS服务权限。
• 在应用中使用AWS SDK调用AWS.CognitoIdentityCredentials方法，传入用户的IAM凭证，获取临时AWS凭证，进而访问AWS服务。

这是个更轻量化的选项，非常适合只需要认证用户以访问AWS服务，不需要额外用户管理功能的场景。

内容的提问来源于stack exchange，提问作者Nirojan Selvanathan