¿Cómo integro Amazon SES con un grupo de usuarios de Amazon Cognito?

Solución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Requisitos previos:

No se admiten las integraciones entre cuentas para Amazon Cognito y Amazon SES. No puedes configurar un grupo de usuarios de Amazon Cognito en una cuenta y, a continuación, integrarlo con una dirección de correo electrónico de Amazon SES en otra cuenta.

Comprobación de las restricciones del entorno de pruebas de Amazon SES

Todas las cuentas nuevas de Amazon SES se colocan en el entorno de pruebas de Amazon SES para evitar el fraude y el uso indebido. Cuando utilices un entorno de pruebas de Amazon SES, comprueba las restricciones.

Cómo sacar la cuenta del entorno de pruebas de Amazon SES

Si no has eliminado tu cuenta del entorno de pruebas de Amazon SES, sigue estos pasos:

1. Revisa la tabla de asignación de regiones de AWS en la configuración de correo electrónico de Amazon SES.
   La tabla de asignación muestra las regiones en las que las identidades de Amazon SES se pueden integrar con los grupos de usuarios de Amazon Cognito. Asegúrate de usar regiones compatibles antes de sacar la cuenta de Amazon SES del entorno de pruebas.
2. Solicita acceso a la producción para tu cuenta de Amazon SES. El equipo de AWS Support proporciona una respuesta inicial a tu solicitud en un plazo de 24 horas.
   Una vez aprobada tu solicitud de acceso a la producción, puedes enviar mensajes de correo electrónico a cualquier destinatario.

Nota: Debes cambiar a la nueva experiencia de consola de Amazon Cognito para integrar Amazon Cognito con Amazon SES en la misma región.

Verificación de la identidad del dominio de Amazon SES

Verifica una o más identidades de dominio en Amazon SES. Si necesitas crear una identidad de dominio antes de la verificación, consulta Creación de una identidad de dominio.

Verificación de la identidad de correo electrónico de Amazon SES

Verifica una o más direcciones de correo electrónico en Amazon SES. Si necesitas crear una identidad de dirección de correo electrónico antes de la verificación, consulta Creación de una identidad de dirección de correo electrónico.

Integración del grupo de usuarios con una identidad verificada

Si se verifica la identidad del dominio de Amazon SES, completa los siguientes pasos:

1. Inicia sesión en la consola de Amazon Cognito y, a continuación, elige Grupos de usuarios.
2. Selecciona el grupo de usuarios.
3. En el menú Métodos de autenticación, selecciona Configuración de correo electrónico. A continuación, selecciona Editar.
4. En Dirección de correo electrónico FROM, elige la identidad de dominio verificada de Amazon SES. Por ejemplo, ejemplo.com.
5. En Nombre del remitente FROM, introduce tu dirección de correo electrónico. Por ejemplo, admin@ejemplo.com.

Puedes agregar una dirección de correo electrónico personalizada para la identidad del dominio. La API UpdateUserPool configura el grupo de usuarios de Amazon Cognito con una identidad de Amazon SES.

Ejemplo de comando update-user-pool:

$ aws cognito-idp update-user-pool --user-pool-id example_pool_id --email-configuration SourceArn=arn:aws:ses:example_region:example_account_number:identity/example_domain,EmailSendingAccount=DEVELOPER,From=user@example.com --region example_region

Importante: La API UpdateUserPool restablece la configuración existente del grupo de usuarios. Primero, invoca la API DescribeUserPool y, a continuación, envía todos los parámetros del grupo de usuarios existentes a la API UpdateUserPool.

Las siguientes son las descripciones del comando update-user-pool:

• example_pool_id corresponde al ID del grupo de usuarios de Amazon Cognito. Ejemplo: ap-southeast-1_xxxxxxxx.
• arn:aws:ses:example_region:example_account_number:identity/example_domain es el nombre de recurso de Amazon (ARN) de tu identidad de dominio de Amazon SES.
• usuario@ejemplo.com debe sustituirse por tu identidad de correo electrónico.
• example_region representa la región en la que se encuentra tu grupo de usuarios de Amazon Cognito. Ejemplo: ap-southeast-1.

Si se verifica la identidad del correo electrónico de Amazon SES, sigue estos pasos:

1. Inicia sesión en la consola de Amazon Cognito y, a continuación, elige Grupos de usuarios.
2. Selecciona el grupo de usuarios.
3. En el menú Métodos de autenticación, selecciona Configuración de correo electrónico. A continuación, selecciona Editar.
4. En Dirección de correo electrónico FROM, elige la identidad de dominio de correo electrónico de Amazon SES. Por ejemplo, admin@ejemplo.com.

Solución de errores

Resolución de errores de direcciones de correo electrónico no verificadas

Es posible que recibas el error: "Email address is not verified. The following identities failed the check in region AP-SOUTHEAST-1: user@example.com.".

Si recibes este error, significa que has intentado enviar un correo electrónico desde una cuenta del entorno de pruebas de Amazon SES a una dirección de correo electrónico no verificada.

Para resolver este error, saca tu cuenta de Amazon SES del entorno de pruebas o verifica la dirección de correo electrónico del destinatario en Amazon SES.

Faltan mensajes de correo electrónico

Si los usuarios no reciben correos electrónicos de tu grupo de usuarios de Amazon Cognito, sigue estos pasos:

1. Confirma que utilizas la configuración de correo electrónico predeterminada de Amazon Cognito o la configuración de correo electrónico de Amazon SES para enviar mensajes de correo electrónico.

2. Verifica las actualizaciones a través de la consola de administración de AWS. O bien, ejecuta la API DescribeUserPool.
   Ejemplo del comando describe-user-pool:

   aws cognito-idp describe-user-pool --user-pool-id example_pool_id --region example_region --query 'UserPool.EmailConfiguration'

   Es posible que recibas uno de los siguientes resultados:

   {  "SourceArn": "arn:aws:ses:us-east-1:123456789012:identity/admin@example.com",
     "EmailSendingAccount": "DEVELOPER",
     "From": "admin@example.com"
   }

   Alternativa:

   {  "SourceArn": "arn:aws:ses:us-east-1:123456789012:identity/admin@example.com",
     "EmailSendingAccount": "COGNITO_DEFAULT"
   }

   Si EmailSendingAccount es ** DEVELOPER**, tu grupo de usuarios utiliza Amazon SES. Comprueba si tu cuenta de Amazon SES está en el entorno de pruebas. Si es así, sácala del entorno de pruebas para enviar correos electrónicos a identidades no verificadas. Si ya está fuera del entorno de pruebas, consulta los registros de Amazon SES para ver si hay problemas con la entrega del correo electrónico.
   Si EmailSendingAccount es COGNITO_DEFAULT, tu grupo de usuarios utiliza la funcionalidad de correo electrónico predeterminada de Amazon Cognito. Esta funcionalidad tiene una cuota de correos electrónicos enviados por grupo de usuarios.

Resolución de errores de cuota de correo electrónico diarios

Es posible que recibas el error: "Exceeded daily email limit for the operation or account. Number of allowed operation has exceeded. If a higher limit is required, please configure your user pool to use your own Amazon SES configuration for sending email messages.".

Si recibes este error, significa que has superado la cuota de la configuración de correo electrónico predeterminada de Amazon Cognito.

Para resolver este problema, configura tu grupo de usuarios para que utilice tu propia configuración de Amazon SES para enviar correos electrónicos. Esto aumenta tus cuotas de envío de Amazon SES.

Información relacionada

¿Por qué Amazon Cognito no envía el código de verificación por correo electrónico o mensaje de texto SMS con la API ForgotPassword?