使用 AWS CLI 的 admin-update-user-attributes 命令更新 Amazon Cognito 用户属性【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cliaws cognito-idp admin-update-user-attributes是 AWS CLI 中针对 Amazon Cognito User Pools 的管理员级命令用于在服务端直接修改用户的任意属性包括自定义属性无需用户参与或提供访问令牌。本文以 官方示例文档 为主线结合当前仓库中 cognito-idp 服务模型 的字段定义与约束系统讲解该命令的参数含义、custom:前缀机制、属性验证行为以及如何通过admin-get-user校验更新结果帮助你安全、准确地完成用户数据的后台维护。命令概览为什么需要管理员更新属性与普通用户通过update-user-attributes自行修改资料不同AdminUpdateUserAttributes是管理面Admin API操作调用方需要具备对应的 IAM 权限通常为cognito-idp:AdminUpdateUserAttributes以 AWS 凭证调用而不是以用户身份调用它直接以username定位用户可以修改email、phone_number、email_verified、phone_number_verified以及所有以custom:前缀命名的自定义属性典型场景包括管理员代用户修正联系方式、标记邮箱/手机已验证、为业务系统同步自定义字段如部门、等级、会员状态等。在服务模型 service-2.json 中该操作的 HTTP 定义为POST /输入结构为AdminUpdateUserAttributesRequest包含四个成员UserPoolId、Username、UserAttributes与ClientMetadata。核心命令更新自定义用户属性官方示例文档给出的命令如下原样继承aws cognito-idp admin-update-user-attributes --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com --user-attributes Namecustom:CustomAttr1,ValuePurple该命令完成三件事在用户池us-west-2_aaaaaaaaa中定位用户diegoexample.com将自定义属性custom:CustomAttr1的值设置为Purple若属性原本不存在则创建该属性值若已存在则覆盖原值。--user-attributes使用 AWS CLI 的结构体简写语法key-value 列表每对Name属性名,Value属性值表示一个AttributeType结构多个属性之间用空格分隔即可一次提交。参数详解与字段约束结合 service-2.json 中的AdminUpdateUserAttributesRequest及各类型定义四个参数说明如下参数CLI 选项类型约束说明UserPoolId--user-pool-id字符串长度 1–55格式须匹配[\w-]_[0-9a-zA-Z]用户池 ID例如us-west-2_aaaaaaaaa。由区域代码、下划线和随机标识组成Username--username字符串长度 1–128匹配[\p{L}\p{M}\p{S}\p{N}\p{P}]敏感字段目标用户。通常是用户名也可以是用户池中的别名属性值若username不是别名属性则必须是本地用户的sub或第三方 IdP 用户的用户名UserAttributes--user-attributes列表元素为AttributeType结构要更新的属性名-值对数组ClientMetadata--client-metadatamap键值映射传给用户池触发器的自定义数据仅对 Lambda 触发器流程生效AttributeType结构的字段本身也有约束Name必填属性名长度 1–32允许的字符集为[\p{L}\p{M}\p{S}\p{N}\p{P}\t\n\r ]例如email、custom:departmentValue属性值长度上限2048 字符且属于敏感字段CLI 在调试/日志输出中会避免明文打印。Username与Value均被标记为sensitive这意味着在使用--debug等模式排查问题时相关明文内容会被 AWS CLI 处理以避免泄露。自定义属性不要遗漏custom:前缀模型文档中特别强调对于自定义属性必须在属性名前追加custom:前缀。例如本例中的custom:CustomAttr1。内置属性email、phone_number、sub等直接使用属性名自定义属性在用户池控制台或 API 中通过schema定义的自定义字段必须写成custom:属性名形式如果省略custom:前缀命令要么报参数校验错误要么无法匹配到目标自定义字段。这一点与同目录下的删除操作保持一致——admin-delete-user-attributes 示例 中删除CustomAttr1时同样使用--user-attribute-names custom:CustomAttr1。属性验证行为与_verified属性AdminUpdateUserAttributes有一个容易忽略的行为差异同样记录在服务模型文档中若用户池对某个属性启用了验证要求例如email、phone_number需要验证普通更新不会立即生效Cognito 会向用户发送验证消息只有用户完成验证后新值才会被写入在此之前用户仍以旧值登录和接收消息如果要在同一次请求中跳过验证消息并直接生效可以在--user-attributes中附带email_verified或phone_number_verified属性并设为true。典型用法aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes \ Nameemail,Valuediegonewdomain.com \ Nameemail_verified,Valuetrue上述命令一次性完成邮箱更换与已验证标记管理员可以在确认邮箱归属后直接更新而不必等待用户点击验证邮件。注意将email_verified/phone_number_verified置为true属于绕过验证的操作仅应在确认信息真实有效时使用。一次更新多个属性--user-attributes接受多个Name/Value对空格分隔即可aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes \ Namecustom:CustomAttr1,ValuePurple \ Namecustom:department,Valueengineering \ Namecustom:level,Valuesenior对于复杂的批量场景也可以借助--cli-input-json从文件读取请求体。AWS CLI 的 cliinputjson 定制模块 支持先通过aws cognito-idp admin-update-user-attributes --generate-cli-skeleton生成 JSON 骨架填充后以--cli-input-json file://request.json提交便于在自动化脚本中维护结构化请求。配合 Lambda 触发器ClientMetadata 参数ClientMetadata是一个键值映射用于向用户池绑定的 Lambda 触发器传递自定义数据Cognito 在触发相关 Lambda 时会将请求中的clientMetadata原样放入事件负载供函数读取处理该数据不会被存储、不会被校验、也不会被加密因此不能在其中传递敏感信息如果用户池没有配置任何触发器该参数不产生任何作用。使用示例aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes Namecustom:status,Valueactive \ --client-metadata KeyNamesource,Valueadmin-console校验更新结果更新成功后命令无输出AdminUpdateUserAttributesResponse为空结构因此通常需要配合查询命令确认结果。可使用 admin-get-user 示例 中的方式查看用户当前属性aws cognito-idp admin-get-user --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com输出中的UserAttributes数组会列出包括sub、email_verified、phone_number、email以及自定义属性在内的全部当前值可据此核对custom:CustomAttr1是否已变为Purple。如需撤销某个自定义属性可参考 admin-delete-user-attributes 示例aws cognito-idp admin-delete-user-attributes --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com --user-attribute-names custom:CustomAttr1使用注意事项权限调用前确认 IAM 身份具备cognito-idp:AdminUpdateUserAttributes权限否则会收到AccessDeniedException用户名标识Username可以是别名属性值但当它不是用户池别名属性时必须使用用户的sub本地用户或第三方 IdP 的用户名否则无法正确定位用户敏感字段Username与Value在模型中被标记为sensitive建议在脚本与日志审计中避免明文落盘值长度单个属性值最大 2048 字符超长会触发参数校验失败验证策略对要求验证的属性如邮箱、手机号未同时提交对应_verified属性时更新不会立即生效需要结合业务确认预期行为。通过组合使用admin-update-user-attributes、admin-get-user与admin-delete-user-attributes即可在 AWS CLI 中完成对 Cognito 用户属性的完整管理闭环其参数语义与约束均可在 service-2.json 中溯源核对便于在脚本化与自动化场景中做出正确的参数构造与异常处理。【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cli创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
使用 AWS CLI 的 admin-update-user-attributes 命令更新 Amazon Cognito 用户属性
使用 AWS CLI 的 admin-update-user-attributes 命令更新 Amazon Cognito 用户属性【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cliaws cognito-idp admin-update-user-attributes是 AWS CLI 中针对 Amazon Cognito User Pools 的管理员级命令用于在服务端直接修改用户的任意属性包括自定义属性无需用户参与或提供访问令牌。本文以 官方示例文档 为主线结合当前仓库中 cognito-idp 服务模型 的字段定义与约束系统讲解该命令的参数含义、custom:前缀机制、属性验证行为以及如何通过admin-get-user校验更新结果帮助你安全、准确地完成用户数据的后台维护。命令概览为什么需要管理员更新属性与普通用户通过update-user-attributes自行修改资料不同AdminUpdateUserAttributes是管理面Admin API操作调用方需要具备对应的 IAM 权限通常为cognito-idp:AdminUpdateUserAttributes以 AWS 凭证调用而不是以用户身份调用它直接以username定位用户可以修改email、phone_number、email_verified、phone_number_verified以及所有以custom:前缀命名的自定义属性典型场景包括管理员代用户修正联系方式、标记邮箱/手机已验证、为业务系统同步自定义字段如部门、等级、会员状态等。在服务模型 service-2.json 中该操作的 HTTP 定义为POST /输入结构为AdminUpdateUserAttributesRequest包含四个成员UserPoolId、Username、UserAttributes与ClientMetadata。核心命令更新自定义用户属性官方示例文档给出的命令如下原样继承aws cognito-idp admin-update-user-attributes --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com --user-attributes Namecustom:CustomAttr1,ValuePurple该命令完成三件事在用户池us-west-2_aaaaaaaaa中定位用户diegoexample.com将自定义属性custom:CustomAttr1的值设置为Purple若属性原本不存在则创建该属性值若已存在则覆盖原值。--user-attributes使用 AWS CLI 的结构体简写语法key-value 列表每对Name属性名,Value属性值表示一个AttributeType结构多个属性之间用空格分隔即可一次提交。参数详解与字段约束结合 service-2.json 中的AdminUpdateUserAttributesRequest及各类型定义四个参数说明如下参数CLI 选项类型约束说明UserPoolId--user-pool-id字符串长度 1–55格式须匹配[\w-]_[0-9a-zA-Z]用户池 ID例如us-west-2_aaaaaaaaa。由区域代码、下划线和随机标识组成Username--username字符串长度 1–128匹配[\p{L}\p{M}\p{S}\p{N}\p{P}]敏感字段目标用户。通常是用户名也可以是用户池中的别名属性值若username不是别名属性则必须是本地用户的sub或第三方 IdP 用户的用户名UserAttributes--user-attributes列表元素为AttributeType结构要更新的属性名-值对数组ClientMetadata--client-metadatamap键值映射传给用户池触发器的自定义数据仅对 Lambda 触发器流程生效AttributeType结构的字段本身也有约束Name必填属性名长度 1–32允许的字符集为[\p{L}\p{M}\p{S}\p{N}\p{P}\t\n\r ]例如email、custom:departmentValue属性值长度上限2048 字符且属于敏感字段CLI 在调试/日志输出中会避免明文打印。Username与Value均被标记为sensitive这意味着在使用--debug等模式排查问题时相关明文内容会被 AWS CLI 处理以避免泄露。自定义属性不要遗漏custom:前缀模型文档中特别强调对于自定义属性必须在属性名前追加custom:前缀。例如本例中的custom:CustomAttr1。内置属性email、phone_number、sub等直接使用属性名自定义属性在用户池控制台或 API 中通过schema定义的自定义字段必须写成custom:属性名形式如果省略custom:前缀命令要么报参数校验错误要么无法匹配到目标自定义字段。这一点与同目录下的删除操作保持一致——admin-delete-user-attributes 示例 中删除CustomAttr1时同样使用--user-attribute-names custom:CustomAttr1。属性验证行为与_verified属性AdminUpdateUserAttributes有一个容易忽略的行为差异同样记录在服务模型文档中若用户池对某个属性启用了验证要求例如email、phone_number需要验证普通更新不会立即生效Cognito 会向用户发送验证消息只有用户完成验证后新值才会被写入在此之前用户仍以旧值登录和接收消息如果要在同一次请求中跳过验证消息并直接生效可以在--user-attributes中附带email_verified或phone_number_verified属性并设为true。典型用法aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes \ Nameemail,Valuediegonewdomain.com \ Nameemail_verified,Valuetrue上述命令一次性完成邮箱更换与已验证标记管理员可以在确认邮箱归属后直接更新而不必等待用户点击验证邮件。注意将email_verified/phone_number_verified置为true属于绕过验证的操作仅应在确认信息真实有效时使用。一次更新多个属性--user-attributes接受多个Name/Value对空格分隔即可aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes \ Namecustom:CustomAttr1,ValuePurple \ Namecustom:department,Valueengineering \ Namecustom:level,Valuesenior对于复杂的批量场景也可以借助--cli-input-json从文件读取请求体。AWS CLI 的 cliinputjson 定制模块 支持先通过aws cognito-idp admin-update-user-attributes --generate-cli-skeleton生成 JSON 骨架填充后以--cli-input-json file://request.json提交便于在自动化脚本中维护结构化请求。配合 Lambda 触发器ClientMetadata 参数ClientMetadata是一个键值映射用于向用户池绑定的 Lambda 触发器传递自定义数据Cognito 在触发相关 Lambda 时会将请求中的clientMetadata原样放入事件负载供函数读取处理该数据不会被存储、不会被校验、也不会被加密因此不能在其中传递敏感信息如果用户池没有配置任何触发器该参数不产生任何作用。使用示例aws cognito-idp admin-update-user-attributes \ --user-pool-id us-west-2_aaaaaaaaa \ --username diegoexample.com \ --user-attributes Namecustom:status,Valueactive \ --client-metadata KeyNamesource,Valueadmin-console校验更新结果更新成功后命令无输出AdminUpdateUserAttributesResponse为空结构因此通常需要配合查询命令确认结果。可使用 admin-get-user 示例 中的方式查看用户当前属性aws cognito-idp admin-get-user --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com输出中的UserAttributes数组会列出包括sub、email_verified、phone_number、email以及自定义属性在内的全部当前值可据此核对custom:CustomAttr1是否已变为Purple。如需撤销某个自定义属性可参考 admin-delete-user-attributes 示例aws cognito-idp admin-delete-user-attributes --user-pool-id us-west-2_aaaaaaaaa --username diegoexample.com --user-attribute-names custom:CustomAttr1使用注意事项权限调用前确认 IAM 身份具备cognito-idp:AdminUpdateUserAttributes权限否则会收到AccessDeniedException用户名标识Username可以是别名属性值但当它不是用户池别名属性时必须使用用户的sub本地用户或第三方 IdP 的用户名否则无法正确定位用户敏感字段Username与Value在模型中被标记为sensitive建议在脚本与日志审计中避免明文落盘值长度单个属性值最大 2048 字符超长会触发参数校验失败验证策略对要求验证的属性如邮箱、手机号未同时提交对应_verified属性时更新不会立即生效需要结合业务确认预期行为。通过组合使用admin-update-user-attributes、admin-get-user与admin-delete-user-attributes即可在 AWS CLI 中完成对 Cognito 用户属性的完整管理闭环其参数语义与约束均可在 service-2.json 中溯源核对便于在脚本化与自动化场景中做出正确的参数构造与异常处理。【免费下载链接】aws-cliUniversal Command Line Interface for Amazon Web Services项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cli创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
