AWS Cognito用户池MFA设为Required时，如何重置用户TOTP MFA？

我完全懂你的困扰——当用户池把MFA设为Required且仅启用TOTP时，用户丢手机确实会陷入登录死胡同，而且直接调用SetUserMFAPreference或AdminSetUserMFAPreference确实不会生效，这是因为全局的Required设置会强制所有用户必须启用至少一种MFA方式，单个用户的偏好设置根本没法覆盖这个规则。

下面是经过验证的可行解决步骤：

• 第一步：临时下调用户池的MFA要求
  进入AWS控制台的Cognito用户池，找到「MFA和验证」配置页面，把MFA类型从Required改为Optional并保存。这一步是核心前提，只有全局允许可选MFA，我们才能操作单个用户的TOTP状态。

• 第二步：禁用目标用户的TOTP
  使用AWS CLI或SDK调用AdminSetUserMFAPreference接口，明确禁用该用户的软件令牌MFA。示例CLI命令如下：

  aws cognito-idp admin-set-user-mfa-preference \
    --user-pool-id 你的用户池ID \
    --username 目标用户的用户名 \
    --software-token-mfa-settings Enabled=false,PreferredMfa=false
  

  这次调用后，该用户的TOTP就会被成功禁用——因为现在全局MFA是可选的，不再强制要求启用。

• 第三步：让用户登录并重新配置TOTP
  用户现在可以仅用密码登录，登录后引导他们重新设置TOTP（可以通过Cognito默认的用户界面，或者你的自定义流程触发TOTP配置流程）。

• 第四步：恢复全局MFA要求
  等用户完成新TOTP的配置后，记得把用户池的MFA设置改回Required，确保整个用户池的安全策略不受影响。

另外补充个容易被忽略的细节：官方文档提到的「使用SetUserMFAPreference禁用单个用户的TOTP」，前提是用户池的MFA不是Required模式——这也是你之前调用API返回200但没实际效果的根本原因。

内容的提问来源于stack exchange，提问作者StarCub