用途：为 Web 与移动应用添加应用级用户认证与授权，基于 Amazon Cognito（用户池与身份池）和 AWS Amplify 客户端认证库。推荐配合 AWS MCP 服务器使用；不可用时文中 AWS CLI 命令可直接执行，技能不硬依赖 MCP。
主要能力：创建用户池、注册/登录、MFA、密码策略、应用客户端；托管 UI/托管登录、OAuth 流程、社交或 SAML 登录、回调 URL、自定义域；处理 ID/访问/刷新令牌、轮换、撤销与会话终止；身份池临时 AWS 凭证、访客访问、角色映射；用 Cognito 令牌保护 API Gateway（HTTP API 用 JWT 授权方，REST API 用用户池授权方）及 ALB authenticate-cognito；机器对机器（客户端凭证）认证、资源服务器与自定义 scope；用户池组；Lambda 触发器自定义声明、自定义认证挑战、用户迁移；通行密钥/WebAuthn；威胁防护（泄露凭证拦截、自适应认证、日志投递）。
关键用法与限制：用户池负责注册登录与签发 JWT，身份池仅在客户端需直接调用 AWS 服务时使用，通过 STS 换取临时凭证。update-user-pool-client 与 set-identity-pool-roles 是全量替换，须先 describe 再读改写。新应用不要用隐式授权，SPA/移动端用带 PKCE 的授权码模式且公共客户端不得设 client secret。高价值应用不要把刷新令牌存 localStorage，改用 cookieStorage 并启用轮换与撤销。访问令牌声明自定义需付费功能计划。不要批量 admin-confirm-sign-up 未确认用户，优先重发确认码。
不覆盖：Amplify Gen2 后端代码、IAM 策略/角色/信任策略编写、STS、IAM Identity Center 控制台 SSO、API Gateway 路由/集成设置与 Lambda 函数实现。精确参数、配额与定价请查官方 AWS 文档。