本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

基本计划功能

Essentials 功能计划包含 Amazon Cognito 用户池中的大部分最佳和最新功能。当你从 Lite 套餐切换到 Essentials 套餐时，你将获得托管登录页面的新功能、使用电子邮件消息一次性密码的多因素身份验证、增强的密码策略和自定义访问令牌。要继续 up-to-date使用新的用户池功能，请为您的用户池选择 Essentials 套餐。

以下各节简要概述了您可以通过 Essentials 计划向应用程序添加的功能。有关详细信息，请参阅以下页面。

访问令牌自定义

用户池访问令牌向应用程序授予以下权限：访问 API、从 userInfo 端点检索用户属性或为外部系统建立组成员关系。在高级场景中，您可能需要将应用程序在运行时确定的其他临时参数添加到用户池目录中的默认访问令牌数据中。例如，您可能需要使用 Amazon Verified Permissions 验证用户的 API 权限，并相应地调整访问令牌中的范围。

Essentials计划增加了代币生成前触发器的现有功能。对于较低级别的套餐，您可以使用额外的声明、角色和群组成员资格来自定义 ID 令牌。借助 Essentials，您还可以使用声明、角色、群组成员资格和 OAuth 范围自定义访问令牌。 machine-to-machine(M2M) 客户端凭证授予不支持访问令牌自定义。

电子邮件 MFA

可以将 Amazon Cognito 用户池配置为使用电子邮件作为多因素身份验证 (MFA) 的第二个因素。通过电子邮件 MFA，Amazon Cognito 可以向用户发送一封包含验证码的电子邮件，用户必须输入该验证码才能完成身份验证过程。这样就为用户登录流程额外增加了一层重要的安全保护。要启用基于电子邮件的 MFA，必须将用户池配置为使用 Amazon SES 电子邮件发送配置，而不是默认的电子邮件配置。

当您的用户选择通过电子邮件进行 MFA 时，每当用户尝试登录时，Amazon Cognito 都会向其注册的电子邮件地址发送一次性验证码。然后，用户必须将此验证码提供给用户池，这样才能完成身份验证流程并获得访问权限。这样可以确保即使用户的用户名和密码遭到泄露，他们还必须提供额外的因素（通过电子邮件发送的验证码），然后才能访问您的应用程序资源。

有关更多信息，请参阅 短信和电子邮件消息 MFA。下面概述了如何设置用户池和用户以使用电子邮件 MFA。

防止密码重用

默认情况下，Amazon Cognito 用户池密码策略会设置密码长度和字符类型要求以及临时密码到期时间。Essentials 计划增加了强制执行密码历史记录的功能。当用户尝试重置其密码时，您的用户池会阻止用户将其设置为以前的密码。有关配置密码策略的更多信息，请参阅添加用户池密码要求。下面概述了如何使用密码历史记录策略来设置用户池。

托管登录托管登录和授权服务器

Amazon Cognito 用户池具有支持以下功能的可选网页：OpenID Connect (OIDC) IdP、 IdPs第三方的服务提供商或依赖方，以及用于注册和登录的公共用户交互页面。这些页面统称为托管登录。当您为用户池选择域名时，Amazon Cognito 会自动激活这些页面。精简版套餐包含托管用户界面，而 Essentials 套餐则会打开这个高级版本的注册和登录页面。

托管登录页面具有简洁的 up-to-date界面，具有更多用于自定义品牌和样式的功能和选项。Essentials 计划是解锁托管登录访问权限的最低套餐级别。

基于选择的身份验证

Essentials 层为增强型 UI 中的身份验证操作和基于 SDK 的 API 操作引入了新的身份验证流程。此流程是基于选择的身份验证。基于选择的身份验证是一种方法，在这种方法中，用户的身份验证不是从应用程序端的登录方法声明开始，而是从查询可能的登录方法开始，然后进行选择。您可以将用户池配置为支持基于选择的身份验证和解锁用户名-密码、无密码和密钥身份验证。在 API 中，USER_AUTH流程就是这样。