Lambda 트리거를 사용하여 사용자 풀 워크플로 사용자 정의

Amazon Cognito가 Lambda 트리거로 전송하는 이벤트는 새 기능에 따라 변경될 수 있습니다. JSON 계층 구조에서 응답 및 요청 요소의 위치가 변경되거나 요소 이름이 추가될 수 있습니다. Lambda 함수에서 이 가이드에 설명된 입력 요소 키-값 페어를 수신할 것으로 예상할 수 있지만 입력 검증이 엄격해지면 함수가 실패할 수 있습니다.

Amazon Cognito가 일부 트리거에 전송하는 여러 버전의 이벤트 중 하나를 선택할 수 있습니다. 일부 버전에서는 Amazon Cognito 요금 변경을 수락해야 할 수 있습니다. 요금에 대한 자세한 내용은 Amazon Cognito 요금 섹션을 참조하세요. 사전 토큰 생성 Lambda 트리거에서 액세스 토큰을 사용자 지정하려면 고급 보안 기능으로 사용자 풀을 구성하고 이벤트 버전 2를 사용하도록 Lambda 트리거 구성을 업데이트해야 합니다.

사용자 지정 발신자 Lambda 트리거를 제외하고, Amazon Cognito는 Lambda 함수를 동기적으로 간접 호출합니다. Amazon Cognito에서 Lambda 함수를 호출하면 5초 내에 응답해야 합니다. 그렇지 않고 직접적인 호출을 재시도할 수 있는 경우 Amazon Cognito는 호출을 재시도합니다. 3번 연속해서 실패하면 함수 제한 시간을 초과하게 됩니다. 이 5초 제한 시간 값은 변경할 수 없습니다. 자세한 내용은 AWS Lambda 개발자 안내서의 Lambda 프로그래밍 모델을 참조하세요.

Amazon Cognito는 HTTP 상태 코드가 500~599인 호출 오류를 반환하는 함수 호출을 재시도하지 않습니다. 이러한 코드는 Lambda가 함수를 시작할 수 없게 만드는 구성 문제를 나타냅니다. 자세한 내용은 의 오류 처리 및 자동 재시도를 AWS Lambda 참조하세요.

Lambda 트리거 구성에서는 함수 버전을 선언할 수 없습니다. Amazon Cognito 사용자 풀은 기본적으로 최신 버전의 함수를 호출합니다. 그러나 함수 버전을 별칭과 연결하고 CreateUserPool 또는 UpdateUserPool API 요청ARN의 별칭LambdaArn으로 트리거를 설정할 수 있습니다. AWS Management Console에서는 이 옵션을 사용할 수 없습니다. 별칭에 대한 자세한 내용은 AWS Lambda 개발자 안내서의 Lambda 함수 별칭을 참조하세요.

Lambda 트리거를 삭제하는 경우 사용자 풀의 해당 트리거를 업데이트해야 합니다. 예를 들어 사후 인증 트리거를 삭제하면 해당 사용자 풀의 사후 인증 트리거를 없음으로 설정해야 합니다.

Lambda 함수가 Amazon Cognito에 요청 및 응답 파라미터를 반환하지 않거나 오류를 반환하는 경우 인증 이벤트는 성공하지 못합니다. 함수에서 오류를 반환하여 사용자의 가입, 인증, 토큰 생성 또는 Lambda 트리거를 호출하는 인증 흐름의 다른 단계를 방지할 수 있습니다.

Amazon Cognito 호스팅 UI는 Lambda 트리거가 생성한 오류를 로그인 프롬프트 위에 오류 텍스트로 반환합니다. Amazon Cognito 사용자 풀은 형식으로 트리거 오류를 API 반환합니다[trigger] failed with error [error text from response]. Lambda 함수에서 사용자에게 표시하려는 오류만 생성하는 것이 좋습니다. 와 같은 출력 방법을 사용하여 민감한 정보 또는 디버깅 정보를 CloudWatch 로그에 print() 로깅합니다. 예시는 사전 가입 예: 사용자 이름이 5자 미만인 경우 가입 거부에서 확인하십시오.

다른 에 Lambda 함수를 사용자 풀의 트리거 AWS 계정 로 추가할 수 있습니다. CreateUserPool 및 UpdateUserPool API 작업으로 교차 계정 트리거를 추가하거나 AWS CloudFormation 및 에서 이와 동등한 트리거를 추가해야 합니다 AWS CLI. 에서 교차 계정 함수를 추가할 수 없습니다 AWS Management Console.

Amazon Cognito 콘솔에서 Lambda 트리거를 추가하면 Amazon Cognito는 사용자 풀이 함수를 호출하도록 허용하는 리소스 기반 정책을 함수에 추가합니다. Amazon Cognito 콘솔 외부에서 교차 계정 함수를 비롯한 Lambda 트리거를 생성하는 경우, Lambda 함수의 리소스 기반 정책에 권한을 추가해야 합니다. 추가한 권한은 Amazon Cognito가 사용자 풀을 대신하여 함수를 호출하도록 허용해야 합니다. Lambda 콘솔에서 권한을 추가하거나 Lambda AddPermission API 작업을 사용할 수 있습니다.

Lambda 리소스 기반 정책 예제

다음 Lambda 리소스 기반 정책 예제는 Amazon Cognito에 Lambda 함수를 호출할 수 있는 제한적인 권한을 부여합니다. Amazon Cognito는 aws:SourceArn 조건의 사용자 풀과 aws:SourceAccount 조건의 계정을 둘 다 대신하는 경우에만 함수를 호출할 수 있습니다.

{
    "Version": "2012-10-17",
    "Id": "default",
    "Statement": [
        {
            "Sid": "lambda-allow-cognito",
            "Effect": "Allow",
            "Principal": {
                "Service": "cognito-idp.amazonaws.com"
            },
            "Action": "lambda:InvokeFunction",
            "Resource": "<your Lambda function ARN>",
            "Condition": {
                "StringEquals": {
                    "AWS:SourceAccount": "<your account number>"
                },
                "ArnLike": {
                    "AWS:SourceArn": "<your user pool ARN>"
                }
            }
        }
    ]
}