¿Cómo soluciono los errores al crear un dominio personalizado en Amazon Cognito?

Descripción breve

Al configurar dominios personalizados en Amazon Cognito, se producen los siguientes errores:

• “Custom domain is not a valid subdomain: Was not able to resolve the root domain, please ensure an A record exists for the root domain” (El dominio personalizado no es un subdominio válido: no se pudo resolver el dominio raíz, asegúrese de que existe un registro A del dominio raíz).
• “Domain already associated with another user pool” (El dominio ya está asociado a otro grupo de usuarios).
• “One or more of the CNAMEs you provided are already associated with a different resource” (Uno o varios de los CNAME que ha proporcionado ya están asociados a un recurso diferente).
• “The specified SSL certificate doesn't exist, isn't in us-east-1 region, isn't valid, or doesn't include a valid certificate chain” (El certificado SSL especificado no existe, no está en la región us-east-1, no es válido o no incluye una cadena de certificado válida).
• “The domain name contains an invalid character. Domain names can only contain lower-case letters, numbers, and hyphens. Please enter a different name that follows this format: ^a-z0-9?$” (El nombre de dominio contiene un carácter no válido. Los nombres de dominio solo pueden contener letras en minúscula, números y guiones. Ingrese un nombre diferente con este formato: ^a-z0-9?$).

Resolución

Error “Custom domain is not a valid subdomain” (El dominio personalizado no es un subdominio válido)

Para evitar cambios accidentales en la infraestructura, Amazon Cognito no admite dominios de nivel superior (TLD) para los dominios personalizados. Para crear un dominio personalizado de Amazon Cognito, el dominio primario debe tener un registro A del sistema de nombres de dominio (DNS).

El dominio primario puede ser la raíz del dominio o un dominio secundario que esté un nivel más arriba en la jerarquía de dominios. Por ejemplo, si su dominio personalizado es auth.xyz.yourdomain.com, Amazon Cognito debe convertir **xyz.**yourdomain.com en una dirección IP. Del mismo modo, para configurar xyz.yourdomain.com como dominio personalizado, debe configurar un registro A para yourdomain.com.

Debe crear un registro A para el dominio primario en la configuración de DNS. Cuando el dominio primario se convierte en un registro A válido, Amazon Cognito no realiza verificaciones adicionales. Si el dominio primario no apunta a una dirección IP real, puede poner una dirección IP ficticia, como “8.8.8.8”, en la configuración de DNS.

Es posible que el proveedor de DNS tarde en propagar los cambios que ha realizado en la configuración de DNS. Para asegurarse de que el proveedor de DNS ha propagado el cambio, ejecute uno de los siguientes comandos.

auth.xyz.yourdomain.com como dominio personalizado:

$ dig A xyz.yourdomain.com +short

o

xyz.yourdomain.com como dominio personalizado:

$ dig A yourdomain.com +short

Nota: Los comandos del ejemplo anterior son para un entorno de Linux.

Si el cambio en la configuración de DNS se propaga, el comando anterior devuelve la dirección IP que configuró. Si la búsqueda en DNS no devuelve la dirección IP configurada, espere a que se propague el cambio. De lo contrario, seguirá apareciendo el error “custom domain is not a valid subdomain” (el dominio personalizado no es un subdominio válido).

Una vez creado el dominio personalizado en Amazon Cognito, puede eliminar la asignación de registros A del dominio primario que configuró anteriormente.

Error “Domain already associated with another user pool” (El dominio ya está asociado a otro grupo de usuarios)

Los nombres de dominio personalizado deben ser únicos en todas las cuentas de AWS en todas las regiones de AWS. Al utilizar un nombre de dominio personalizado para un grupo de usuarios, no se puede utilizar el mismo nombre de dominio para ningún otro grupo de usuarios. Debe eliminar el dominio personalizado asociado al primer grupo de usuarios si desea utilizar el nombre de dominio para otro grupo de usuarios.

Tras eliminar un dominio personalizado, se tarda un tiempo en disociar por completo el dominio personalizado del grupo de usuarios. Si intenta configurar el nombre de dominio con otro grupo de usuarios inmediatamente después de eliminarlo, es posible que aparezca el error de asociación de dominio. Si aparece el error de asociación de dominio, espere entre 15 y 20 minutos antes de intentar configurar el nombre de dominio con el nuevo grupo de usuarios.

Error “One or more of the CNAMEs you provided are already associated with a different resource” (Uno o varios de los CNAME que ha proporcionado ya están asociados a un recurso diferente)

Tras crear un dominio personalizado, Amazon Cognito crea una distribución de Amazon CloudFront administrada por AWS con el mismo nombre de dominio personalizado. Puede usar un nombre de dominio con una sola distribución de CloudFront. Si utiliza ese nombre de dominio como dominio alternativo en CloudFront, no puede utilizar un nombre de dominio existente para crear un dominio personalizado. Si intenta crear un dominio personalizado que ya esté asociado a una distribución de CloudFront, aparecerá el error de asociación de CNAME.

Puede resolver este error de una de las dos maneras siguientes:

• Utilice un nombre de dominio diferente para el dominio personalizado de Amazon Cognito.
• Cuando utilice el dominio como dominio personalizado de Amazon Cognito, deje de usar el nombre de dominio con otra distribución de CloudFront.

Error “The specified SSL certificate doesn't exist” (El certificado SSL especificado no existe)

1. Para crear un dominio personalizado de Amazon Cognito, necesita un certificado de AWS Certificate Manager (ACM) en la región de AWS us-east-1. Al crear el dominio personalizado, Amazon Cognito crea internamente una distribución de CloudFront. CloudFront solo admite certificados de ACM en la región us-east-1.
2. Al configurar el dominio personalizado, asegúrese de que el certificado seleccionado no haya caducado.
3. Si importa un certificado en ACM, asegúrese de que lo haya emitido una autoridad de certificación (CA) pública. El certificado también debe tener la cadena de certificados correcta. Para obtener más información, consulte Importación de certificados a AWS Certificate Manager.
4. El certificado debe tener un tamaño de 2048 bits o menos. El certificado no se puede proteger con contraseña.
5. Si la evaluación de una política de AWS Key Management Service (AWS KMS) da como resultado una denegación explícita, es posible que aparezca un error de certificado SSL. Este error se produce cuando se deniegan explícitamente determinadas acciones de AWS KMS para el usuario de IAM o el rol de IAM que crea el dominio personalizado de Amazon Cognito. El error suele producirse cuando se deniega explícitamente alguna de las siguientes acciones de AWS KMS: kms:DescribeKey, kms:CreateGrant o kms:*.

Error “The domain name contains an invalid character” (El nombre de dominio contiene un carácter no válido)

Si un nombre de dominio contiene algún carácter que no sean letras en minúscula, números y guiones, no se aceptará el nombre de dominio. No puede usar un guion para el primer o el último carácter. La longitud máxima del nombre de dominio completo, incluidos los puntos, es de 63 caracteres.

---

Información relacionada

Uso de un dominio propio con la IU alojada