AWS Cognito TLS 实施

Question

我们需要授权 URL（例如

https://user_pool.auth.us-east-1.amazoncognito.com

）来强制执行 TLS 1.2 或更高版本。

我看不到在用户池或其他任何地方强制执行此操作的方法，但如果有方法，有人可以分享吗？

看到这个问题并做了一些我自己的挖掘，我看到了FIPS端点。

我们正在使用OIDC发现（使用nodejs“openid-client”包）来检索auth url，因此我尝试将发行者URL从

cognito-idp.us-east-1.amazonaws.com

更改为

cognito-idp-fips.us-east-1.amazonaws.com

但是，发现中返回的身份验证 URL 仍然相同 - 它不是 FIPS URL，事实上，如果我转到

https://cognito-idp-fips.us-east-1.amazonaws.com/us-east-1_user_pool/.well-known/openid-configuration

，我会看到它返回“常规”URL，而不是

-fips

变体。

那么我该如何让它工作呢？

真诚的，

对 AWS 感到失望

Answer 1

我们的应用程序安全模块上存在类似问题已有 4 年多了，但找不到任何解决方案来解决此问题，而且 AWS Cognito 也没有升级其产品。然而，其中一个 AWS 博客建议了一种解决方法，即使用 Cognito 用户池作为源进行 Cloudfront 分发，并在互联网（用户/UI）和 Cloudfront 之间配置适当的 TLS 版本。请在此处找到相同的参考 - AWS re:Post