saml-2.0 - Aws Cognito 的 SAML 属性映射 - 注册或登录有效，但不能同时有效

Question

我已将我的 GSuite 帐户设置为 Cognito 用户池(不是身份池)的 SAML iDP。

如果我未提供属性映射，则尝试通过 GSuite 登录进行注册的新用户会收到以下错误。

Error in SAML response processing: Invalid user attributes: email: Attribute is required.

但是，如果我添加电子邮件映射，则用户可以注册。但是因为收到此错误而无法再次登录(奇怪，因为此应用程序客户端可以写入电子邮件)

Error in SAML response processing: Invalid user attributes: email: Attribute cannot be updated.

关于发生了什么的想法？

在浏览器中，使用托管 UI。

Answer 1

事实证明，我在 CloudFormation 设置期间使电子邮件地址不可变。即使电子邮件没有被修改，它也需要是可变的。

您可以通过以下命令确定电子邮件的可变性。

 aws --output table cognito-idp describe-user-pool --user-pool-id <user pool id>  | grep -B6 -A7 "  |  email  "