AWS Cognito: Skill setzt den Client zurück

AWS hat Amazon Cognito am 7. August 2026 als Kern-Skill ins Agent Toolkit gelegt. Coding-Agenten können damit Login-Strecken für Apps aufsetzen. Der Skill selbst warnt: Ein Update kann die Login-Einstellungen einer App still auf den Werkszustand setzen.

Das Wichtigste in Kürze

Verwandt:AWS nimmt den Agenten-Unterbau ab, der Haken bleibt  /  NHI-Sprawl: Lifecycle schlägt Login-MFA

AWS legt Cognito in die Agenten-Kette

Amazon Cognito ist der AWS-Dienst für Anwendungslogins: Wer darf sich anmelden, welches Token bekommt die App, wie lange gilt es. Neu ist nicht Cognito selbst. Neu ist, dass AWS den Dienst als fertigen Skill in das Agent Toolkit for AWS gelegt hat. Coding-Agenten, die das Toolkit nutzen, sollen Login-Strecken mit hinterlegten Abläufen einrichten, absichern und debuggen. Zielgruppe sind Logins für Menschen, für andere Agenten und für Microservices.

Das Toolkit ist eine Anleitung plus Werkzeugkette: Skills, Plugins und der AWS MCP Server. Auf der Produktseite steht der Einstieg über den Befehl aws configure agent-toolkit. Für diesen Wizard nennt die Doku AWS CLI 2.35.0 oder neuer. Der Wizard erkennt installierte Agenten, legt Standard-Skills ab und hängt den MCP-Server an. Alternativ kommen Claude Code über ein Plugin und Codex über den Marketplace zum Toolkit.

Wichtig für den Betrieb: Der Skill arbeitet auch ohne MCP, direkt über die AWS-Kommandozeile. AWS schreibt das in der What’s-New-Notiz und wiederholt es in der Skill-Datei. Wer den MCP-Server weglässt, verliert die zentrale IAM-Klammer und das CloudWatch-Metering. Die Aufrufe bleiben möglich. Genau deshalb gehört die IAM-Rolle vor den ersten Prompt, nicht danach.

Zwei Dienste, eine häufige Verwechslung

Die Skill-Datei auf GitHub macht den ersten Entscheid zur Pflichtfrage. Ein User-Pool ist das Benutzerverzeichnis und stellt die Tokens aus. Ein Identity-Pool tauscht ein solches Token gegen temporäre AWS-Zugangsdaten. Die meisten Apps brauchen nur den User-Pool. Ein Identity-Pool kommt dazu, wenn der Client Speicher oder Datenbank direkt aus dem Browser anspricht.

Der Skill deckt zusätzlich Managed Login, OAuth-2.0-Flows, Token-Rotation und -Widerruf, JWT-Prüfungen an API Gateway oder Load Balancer, Passkeys, Threat Protection und Cognito-Lambda-Trigger ab. Er deckt ausdrücklich nicht ab: Amplify-Gen2-Backends, IAM- oder STS-Policies und IAM Identity Center. Wer den Agenten „mach uns SSO“ sagen lässt, landet außerhalb des Skills. Dafür ist der IAM-Skill vorgesehen.

Ein Update kann den App-Client komplett zurücksetzen

Der operative Haken sitzt in zwei Update-Aufrufen. Die Skill-Datei schreibt es als Critical Warning: update-user-pool-client und set-identity-pool-roles ersetzen die Konfiguration vollständig. Felder, die der Aufruf nicht mitschickt, fallen auf den Default zurück. Im Agenten-Kontext sieht das nach Erfolg aus. Bei erfolgreichem Aufruf antwortet der Client-Update mit HTTP 200. Der Schaden erscheint später, wenn ein Nutzer den fehlenden Login-Weg trifft.

Konkret können dabei erlaubte Anmeldewege, Token-Gültigkeiten, Widerruf, Refresh-Token-Rotation und Lese- oder Schreibattribute verschwinden. Bei Identity-Pools ersetzt der Rollen-Aufruf die komplette Rollen- und Zuordnungsstruktur. Die vom Skill vorgeschriebene Gegenmaßnahme ist Read-Modify-Write: zuerst den aktuellen Stand lesen, dann den kompletten Stand plus Änderung zurückschreiben.

Drei weitere Warnungen aus derselben Datei gehören in die Betriebsregel. Der Implicit Grant gilt als Legacy und legt Tokens ins URL-Fragment. Für Web- und Mobile-Apps verlangt der Skill Authorization Code plus PKCE. Ein App-Client mit Secret ist für Browser-Apps falsch, weil der Browser das Secret nicht schützen kann. Und zusätzliche Claims im Access-Token über den Pre-Token-Generation-Trigger in der Variante V2/V3 hängen an einem bezahlten Cognito-Feature-Plan. Die Skill-Datei selbst sagt, Plan-Namen ändern sich – vor dem Rollout die aktuelle Feature-Plan-Doku lesen.

Der MCP-Server schreibt nur, was IAM erlaubt

Der AWS MCP Server ist der gemanagte Zugang: ein Endpunkt, CloudWatch-Metriken, IAM-Kontrollen. Ohne Anmeldung darf der Agent Dokumentation und Service-Infos suchen. Sobald er APIs aufruft, Python-Skripte in der Sandbox startet oder Skills abarbeitet, braucht er vorhandene IAM-Zugangsdaten. CloudTrail protokolliert die API-Aufrufe.

Das ist die eigentliche Steuerung, nicht der freundliche Prompt. Eine Rolle mit Vollzugriff auf Cognito macht aus dem Skill eine unsichtbare Konsole. Sinnvoll ist eine getrennte Rolle für den Agenten: Lesen frei, Anlegen nur in einer Dev-Account- oder Sandbox-Umgebung, Ändern und Löschen an Tags oder konkrete User-Pool-Kennungen gebunden. Produktions-Pools bleiben außerhalb der Rolle.

Das Toolkit selbst berechnet AWS laut Produktseite nichts extra. Bezahlt wird, was der Agent anlegt: User-Pools, monatlich aktive Nutzer, Feature-Plan, Lambda-Trigger, Identity-Pools. Genau deshalb gehört ein Billing-Alarm an denselben Account, in dem der Agent schreibt. Ein Identity-Pool mit offener Gastrolle öffnet temporäre AWS-Zugangsdaten ins Internet. Das ist ein Credential-Leck mit CloudTrail als späterem Beleg.

Vor dem ersten Prompt gehören die Guardrails fest

Wer den Skill produktiv nutzen will, trennt drei Flächen. Fläche 1 ist Dokumentation: der Agent darf Cognito-Doku lesen und Entwürfe vorschlagen. Fläche 2 ist eine Sandbox mit eigenem Account oder zumindest eigenen User-Pools, gekennzeichnet und zeitlich begrenzt. Fläche 3 ist Produktion. Dort bleibt der Skill aus, bis ein Mensch den Diff aus dem aktuellen Client-Stand gegen den geplanten Aufruf gelesen hat.

Für den ersten Lauf reicht ein enger Auftrag: „Lege in Account X einen User-Pool plus öffentlichen App-Client ohne Secret an. Nutze Authorization Code mit PKCE. Identity-Pools bleiben draußen.“ Alles andere – Federation, Custom Domain, Threat Protection, zusätzliche Token-Claims – erst, wenn der Basis-Pool steht und jemand die Feature-Plan-Grenze geprüft hat. Refresh-Tokens gehören bei hochwertigen Apps nicht in den lokalen Browser-Speicher; die Skill-Datei verweist auf Cookie-Storage, kurze Laufzeit, Rotation und Widerruf.

Nach dem Lauf gehört ein Diff in das Ticket: aktueller User-Pool, aktueller App-Client, bei Identity-Pools zusätzlich die Rollen. CloudTrail zeigt, welche Identität die Calls abgesetzt hat. Fehlt der Describe-Schritt im Agent-Log, ist der Lauf unvollständig – unabhängig davon, ob der Create-Call grün war. Unbestätigte Nutzer lässt der Skill bewusst über den Admin-Confirm-Weg stehen. Ein stilles Löschen gehört nicht zum Standardlauf.

Der Skill ersetzt weder IAM Identity Center noch ein NHI-Lifecycle. Er beschleunigt das Aufsetzen von Anwendungslogins. Die Verantwortung für Read-Modify-Write, für die Rolle des Agenten und für die Grenze zwischen User-Pool und Identity-Pool bleibt beim Team, das den Prompt abschickt.

Häufige Fragen

Bildquelle: KI-generiert (August 2026)