Когда я пытаюсь войти в систему с помощью AWS Cognito, я получаю исключение AccessDeniedException о моем пользовательском триггере Lambda.

Это произошло потому, что я воссоздал свой API-шлюз и лямбда-выражения (без сервера), и оказалось, что консоль Cognito незаметно добавляет разрешения для связи с заданной функцией Lambda при добавлении в качестве триггера через консоль.

Чтобы исправить это в файле CloudFormation / serverless.yml:

resources:
  Resources:
    OnCognitoSignupPermission:
      Type: 'AWS::Lambda::Permission'
      Properties:
        Action: "lambda:InvokeFunction"
        FunctionName:
          Fn::GetAtt: [ "UsersUnderscoreonCognitoSignupLambdaFunction", "Arn"]
        Principal: "cognito-idp.amazonaws.com"
        SourceArn:
          Fn::Join: [ "", [ "arn:aws:cognito-idp", ":", Ref: "AWS::Region", ":", Ref: "AWS::AccountId", ":", "userpool/", "@cognito_pool_id@" ] ]

Чтобы исправить это в консоли AWS:

• Перейдите в консоль Cognito
• Выберите свой пул пользователей
• Перейти в «Триггеры»
• Удалите пользовательский триггер (установите для него значение «Нет») и нажмите «Сохранить».
• Теперь сбросьте его и снова нажмите «Сохранить».

Вот интересное сообщение на форуме Amazon, которое привело меня по правильному пути .

У меня была проблема, аналогичная вашей, за исключением того, что я пытался настроить Lambda с моим пулом пользователей Cognito через CloudFormation.

В ссылке, которую опубликовал Райан, был опубликованный кем-то образец кода. А именно Cognito требовались соответствующие разрешения для вызова лямбда-функции.

MyLambdaInvocationPermission:
  Type: AWS::Lambda::Permission
  Properties:
    Action: lambda:InvokeFunction
    FunctionName: !GetAtt MyLambdaFunctionName.Arn
    Principal: cognito-idp.amazonaws.com
    SourceArn: !GetAtt MyCognitoUserPoolName.Arn

Для тех, кто попадает сюда и пытается добавить триггеры когнитивных функций через terraform, все, что вам нужно сделать, это добавить ресурс aws_lambda_permission:

resource "aws_lambda_permission" "allow_execution_from_user_pool" {
  statement_id = "AllowExecutionFromUserPool"
  action = "lambda:InvokeFunction"
  function_name = aws_lambda_function.<lambda>.function_name
  principal = "cognito-idp.amazonaws.com"
  source_arn = aws_cognito_user_pool.<pool>.arn
}

Найдено в этом замечательном сообщении: https://www.integralist.co.uk/posts/cognito/

вы можете добавить разрешение из лямбда-роли (создать политику для когнитивного анализа и добавить к этой лямбда-роли). это решит мою проблему, когда я застрял в ней

при создании стека облачной информации возникла ошибка типа

User:arn:aws::12345678:user/xyz is not authorized to perform:
cognito-idp:CreateUserPool on resource:*(Service:AWSCognitoIdentityProviderService;
Status Code: 400; Error Code: AccessDeniedException;Request ID: xxxxx)

обходной путь:

• перешел к стеку, который находится в состоянии отката -> проверенные события, и смог увидеть (не удалось создать) некоторые роли, к которым у меня нет доступа,
• Итак, я проверил назначенную мне IAM-политику - у меня не было доступа.
• Я создал новую политику и назначил себе встроенную политику, импортировав ее из AWS.

  # P1 #

    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Cognito-IDP",
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction",
                "cognito-idp:*"
            ],
            "Resource": "*"
        }
    ]
}

примечание: вы можете ограничить доступ к ресурсу и пользователю когнито-idp.

с этим - я успешно могу создать и развернуть стек облачной информации для модуля.