amazon-cognito - 当我尝试使用 AWS Cognito 登录时，我收到关于我的自定义 Lambda 触发器的 AccessDeniedException

Question

我正在调用 adminInitiateAuth 并为我自己的 lambda 返回一个奇怪的 AccessDeniedException。

这是我正在调用的代码:

      var params = {
        AuthFlow: "ADMIN_NO_SRP_AUTH",
        ClientId: "@cognito_client_id@",
        UserPoolId: "@cognito_pool_id@",
        AuthParameters: {
          USERNAME : username,
          PASSWORD : tempPassword
        },
      };
      cognitoIdentityServiceProvider.adminInitiateAuth(params, function(error, data) {
        if (error) {
          console.log("ERROR! Login failed: " + JSON.stringify(error), error.stack);
        } else {
          console.log("Login sent back: " + JSON.stringify(data));
        }
      });

我收到的错误消息是:

ERROR! Login failed: {"message":"arn:aws:lambda:us-east-1:201473124518:function:main-devryan-users_onCognitoLogin failed with error AccessDeniedException.","code":"UnexpectedLambdaException","time":"2017-02-25T18:54:15.109Z","requestId":"ce42833f-fb8b-11e6-929b-2f78b63faa12","statusCode":400,"retryable":false,"retryDelay":1.0853444458916783} UnexpectedLambdaException: arn:aws:lambda:us-east-1:201473124518:function:main-devryan-users_onCognitoLogin failed with error AccessDeniedException.

有人知道为什么我可能会收到此错误吗？

Answer 1

发生这种情况是因为我重新创建了我的 API 网关和 Lambdas(使用无服务器)，结果发现 Cognito 控制台在通过控制台作为触发器添加时偷偷添加了联系给定 Lambda 函数的权限。

在您的 CloudFormation/serverless.yml 文件中修复此问题 :

resources:
  Resources:
    OnCognitoSignupPermission:
      Type: 'AWS::Lambda::Permission'
      Properties:
        Action: "lambda:InvokeFunction"
        FunctionName:
          Fn::GetAtt: [ "UsersUnderscoreonCognitoSignupLambdaFunction", "Arn"]
        Principal: "cognito-idp.amazonaws.com"
        SourceArn:
          Fn::Join: [ "", [ "arn:aws:cognito-idp", ":", Ref: "AWS::Region", ":", Ref: "AWS::AccountId", ":", "userpool/", "@cognito_pool_id@" ] ]

在 AWS 控制台中修复此问题 :

转到 Cognito 控制台

选择您的用户池

转到“触发器”

删除您的自定义触发器(将其设置为无)并单击“保存”

现在将其重置并再次单击“保存”

这是 an interesting Amazon forum post这让我走上了正轨。