Cognito中为联邦用户设密码的安全性疑问及最佳实践咨询

背景说明 #

在Amazon Cognito的《将联邦用户链接到现有用户配置文件》文档中提到：您可通过AdminSetUserPassword API请求为自动创建的联邦用户配置文件设置密码，此时用户状态将从EXTERNAL_PROVIDER变为CONFIRMED。处于该状态的用户既可以作为联邦用户登录，也能像关联的本地用户一样在API中发起认证流程，还可通过ChangePassword、UpdateUserAttributes等令牌认证API请求修改密码和属性。作为安全最佳实践并保持与外部IdP的同步，请勿为联邦用户配置文件设置密码，而是使用AdminLinkProviderForUser将用户链接到本地配置文件。

用户疑问 #

• 此处的“安全最佳实践”具体指什么？为SSO用户设置密码的安全风险有多大？
• 为何为本地用户启用联邦登录比为联邦用户启用密码登录更安全？二者均支持SSO登录和密码登录，结果看似一致。

1. 安全最佳实践的具体含义与设置密码的风险 #

这里的安全最佳实践核心是保持身份认证的单一可信源：

• 联邦用户的身份本应由外部IdP（如企业SSO系统）全权管理，涵盖密码策略、多因素认证、账号生命周期（禁用/删除）等所有身份相关管控。给联邦用户设置Cognito本地密码后，相当于引入了第二个独立的身份认证入口，直接打破了原本集中管控的安全模式。
• 具体安全风险包括：
  • 密码策略不一致：外部IdP可能有严格的密码复杂度、过期时间、重试限制等规则，但Cognito本地密码可能遵循不同标准，拉低整体安全基线。
  • 账号管控脱节：若外部IdP禁用了某用户账号，该用户仍可通过Cognito本地密码登录系统，无法及时阻断违规或离职用户的访问。
  • 攻击面扩大：多一个密码认证入口，就多了被暴力破解、钓鱼攻击的可能性，尤其是用户存在密码复用习惯时，风险会进一步放大。
  • 合规性问题：部分合规框架（如GDPR、HIPAA）要求身份认证的可追溯性与集中管控，双身份入口模式可能违反这类合规要求，引发合规风险。

2. 两种登录配置的安全差异 #

二者看似都支持SSO和密码登录，但身份管控的核心逻辑完全不同：

• 本地用户启用联邦登录：用户的核心身份是Cognito本地账号，联邦登录只是附加的认证方式。此时所有账号的生命周期、密码策略、权限管控仍以Cognito（或您统一配置的规则）为核心，外部IdP仅作为认证手段。即使外部IdP出现故障或中断，您仍可通过Cognito直接管控账号，不会出现身份源冲突或数据不一致的问题。
• 联邦用户启用密码登录：用户原本由外部IdP全权管控，添加Cognito本地密码后，形成了双身份源（外部IdP + Cognito）+ 双认证入口的局面：
  • 无法保证两个身份源的状态同步，比如外部IdP修改了用户邮箱，Cognito本地属性可能未同步更新；
  • 禁用用户时需同时操作外部IdP和Cognito，否则用户仍可通过另一入口登录；
  • 用户通过Cognito的update-user-attributes修改属性后，会覆盖从外部IdP同步的信息，导致身份数据混乱。

简言之，前者是单一核心身份 + 多认证方式，管控集中、安全边界清晰；后者是双身份源并行，会引入身份管控盲区和数据不一致风险，安全性远低于前者。

内容的提问来源于stack exchange，提问作者ynn