Блог

Я создаю пользовательский пул Cognito с помощью Cloudformation и устанавливаю LambdaConfig -> Предварительную аутентификацию для функции Lambda, также созданной с помощью Cloudformation. Проблема в том, что лямбда-функция, похоже, не вызывается. При аутентификации пользователь входит в систему без вмешательства логики предварительной аутентификации, а журналы Cloudwatch для лямбда-функции пусты. Если я протестирую функцию на панели управления Lambda, она будет работать правильно. Я не получаю никаких ошибок.

Кроме того, я моделирую эту настройку Cloudformation на существующей настройке, которая работает. И ресурсы, полученные из стека Cloudformation, похоже, имеют ту же конфигурацию, что и рабочая версия.

Соответствующие части шаблона cloudformation выглядят следующим образом:

   UserPool:
    Type: AWS::Cognito::UserPool
    Properties:
      LambdaConfig:
        PreAuthentication: !GetAtt UserAuthorizerFunction.Arn
      UsernameAttributes:
        - email
      UsernameConfiguration:
        CaseSensitive: false
 

Лямбда-функция определяется как:

   UserAuthorizerFunction:
    Type: AWS::Lambda::Function
    Properties:
      FunctionName: Authorize_Users
      Description: Authorizes users
      Handler: index.handler
      Role: !GetAtt AuthorizerFunctionRole.Arn
      Code:
        ZipFile: |
          const AWS = require('aws-sdk')
          // stuff
      Runtime: nodejs12.x
 

Лямбда-функция создается с помощью политики, основанной на ресурсах, которая выглядит корректно:

 {
  "Version": "2012-10-17",
  "Id": "default",
  "Statement": [
    {
      "Sid": "AuthorizerFunctionPermission-WSIGC4MBBT0C",
      "Effect": "Allow",
      "Principal": {
        "Service": "cognito-idp.amazonaws.com"
      },
      "Action": "lambda:InvokeFunction",
      "Resource": "arn:aws:lambda:us-east-1:<redacted>:function:Authorize_Users",
      "Condition": {
        "ArnLike": {
          "AWS:SourceArn": "arn:aws:cognito-idp:us-east-1:<redacted>:userpool/us-east-1_<redacted>"
        }
      }
    }
  ]
}
 

Почему не выполняется мой хук предварительной аутентификации? Есть ли DependsOn требование, о котором я не думаю?

Оказалось, что это известная проблема — по крайней мере, другие испытывают ее: https://forums.aws.amazon.com/thread.jspa?messageID=897845amp;#897845

Мне нужно было удалить параметр ALLOW_CUSTOM_AUTH auth flow и использовать ALLOW_USER_PASSWORD_AUTH .