我想使用AWS Cognito作为OpenId连接提供者。我的AWS Cognito IDP将会调用我的另一个OpenId提供者来验证用户。然后，它将创建自己的新令牌并将其交给调用者。
AWS Cognito池内部使用的OpenID提供程序对用户透明。用户只需将AWS Cognito配置为其IDP提供程序即可。
用户案例
问题
https://cognito-idp.{region}.amazonaws.com/{userPoolId}
而您可以通过检查元数据URL来验证是否存在{{某些内容}}。
https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/openid-configuration
为了更详细地解答有关Cognito的OpenID Connect支持的问题。
Cognito按照https://openid.net/specs/openid-connect-discovery-1_0.html#ProviderConfigurationRequest所描述的方式公开了一个OpenID Connect Discovery端点，其位置如下：
https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/openid-configuration
上述终端返回以下三种响应类型：
"response_types_supported":["code","token","token id_token"]
code: 在https://www.rfc-editor.org/rfc/rfc6749#section-11.3.2中定义-这对我们有效，但仅在指定域名时才有效。
token: OpenID Connect在https://openid.net/specs/openid-connect-core-1_0.html#ImplicitAuthRequest中禁止使用此值-“注意：虽然OAuth 2.0还为隐式流定义了令牌响应类型值，但OpenID Connect不使用此响应类型，因为不会返回任何ID令牌。”-OpenID Connect库将忽略此响应。
token id_token: 此值会触发重定向到一个错误页面，并显示代码“invalid_request”。没有给出请求无效的指示。AWS技术支持声称authorize端点仅支持“code”和“token”，但如果不支持，则不清楚为什么会广告此response_type。
Cognito提供了指定域名的选项，该域名将作为Cognito端点主机名的前缀。
如果未指定域，则Cognito将在OpenID Connect发现端点上广告通用URL，例如https://cognito-idp.eu-west-2.amazonaws.com/{userPoolId}/authorize，但是在这些URL尝试登录时，都会返回错误消息：
{"code":"BadRequest","message":"The server did not understand the operation that was requested.","type":"client"}
错误消息未指示请求有何问题，因此这似乎是Cognito中的一个bug。
在指定域的情况下，Cognito将广告包含域前缀的URL，而response_type“code”将按预期返回登录页面。
在https://openid.net/specs/openid-connect-session-1_0.html#RPLogout上的OpenID Connect会话管理描述了必须如何启动OpenID Connect注销，并根据https://openid.net/specs/openid-connect-session-1_0.html#OPMetadata要求在发现元数据中包括end_session_endpoint参数。
在Cognito的情况下，metadata中省略了end_session_endpoint。
https://openid.net/specs/openid-connect-session-1_0.html#RPLogout上的RP-Initiated Logout描述了注销端点的工作方式。如果尝试手动将注销端点传递给OpenID Connect客户端实现，则注销失败，原因如下：
{"code":"BadRequest","message":"The server did not understand the operation that was requested.","type":"client"}
错误信息没有指示错误原因，但是在https://docs.aws.amazon.com/cognito/latest/developerguide/logout-endpoint.html描述的登出端点不支持OpenID Connect。
虽然可以使用OpenID Connect登录Cognito，但无法注销。
Cognito Cloudformation支持不完整，对OpenID Connect的影响如下:
要使用OpenID Connect访问Cognito，请确保指定域名，并仅使用response_type "code"。 OpenID Connect注销不可行。其他选项会违反OpenID Connect规范或发行时已损坏。