amazon-web-services - AWS CloudFormation 脚本失败 - Cognito 不允许使用您的电子邮件身份

Question

我正在尝试构建一个 CloudFormation 脚本，用于设置 Cognito 用户池并将其配置为使用自定义电子邮件在注册过程中向用户发送验证代码(即 FROM: [email protected] )。

我在执行 AWS CloudFormation 脚本时收到此错误:

"ResourceStatusReason": "Cognito is not allowed to use your email identity (Service: AWSCognitoIdentityProvider; Status Code: 400; Error Code: InvalidEmailRoleAccessPolicyException; 

我已附上 Cognito 使用我的 SES 电子邮件身份的政策，例如[email protected] 。在运行 CloudFormation 脚本之前，我已在 SES 中手动设置并验证了此电子邮件身份。

这是我的 CloudFormation 策略配置，允许 Cognito 代表我发送电子邮件，例如来自 [email protected] :

  CognitoSESPolicy:
    Type: AWS::IAM::ManagedPolicy
    Description: "Allow Cognito the send email on behalf of email identity (e.g. <a href="https://stackoverflow.com/cdn-cgi/l/email-protection" class="__cf_email__" data-cfemail="6709081502170b1e27021f060a170b0249081500" rel="noreferrer noopener nofollow">[email protected]</a>)"
    Properties:
      PolicyDocument:
        Version: 2012-10-17
        Statement:
        - Sid: "ucstmnt0001"
          Effect: "Allow"
          Action:
          - "ses:SendEmail"
          - "ses:SendRawEmail"
          Resource: !FindInMap [ environment, !Ref "Environment", emailARN ]

  SESRole:
    Type: AWS::IAM::Role
    Description: "An IAM Role to allow Cognito to send email on behalf of email identity"
    Properties:
      RoleName: uc-cognito-ses-role
      ManagedPolicyArns:
        - Ref: CognitoSESPolicy
      AssumeRolePolicyDocument:
        Version: 2012-10-17
        Statement:
          - Effect: Allow
            Action:
            - sts:AssumeRole
            Principal:
              Service:
              - cognito-idp.amazonaws.com
    DependsOn: CognitoSESPolicy

我不确定我在这里做错了什么......

Answer 1

为了别人的利益回答我自己的问题。 AWS SES 有自己的电子邮件托管身份，要求用户验证电子邮件的所有权，然后才能供其他 AWS 服务使用。我的解决方案是使用 AWS 门户手动设置 SES 电子邮件帐户，验证电子邮件帐户，然后在我的 CloudFormation 脚本中引用在 SES 中为电子邮件创建的身份的 ARN。也许AWS将来会有办法通过CloudFormation脚本创建SES身份，但目前看来初始设置需要手动过程。