single-sign-on - 如何将AWS Cognito与我自己的登录/ MFA /重置密码页面一起使用？

我试图了解是否/如何使用Cognito作为OCID / IdP但是使用我自己的＆＃34;皮肤＆＃34;它。使用Cognito CSS自定义功能还不够。

更确切地说，我正在尝试构建一个利用Cognito的UserPools，访问/刷新令牌，设备信任/等的SSO前端。我对i18n和MFA的其他身份验证页面有一些特定的要求（将使用Cognito Custom Auth流程），但我似乎无法理解如何将这些部分组合在一起。

据我所知，如果我使用Cognito SDK构建我的SSO前端，那么我基本上将自己登录到我自己的SSO应用程序中，但是然后无法在OCID流中使用生成的凭据。如果我尝试将我的外部应用程序指向Cognito，那么我将被迫使用不符合我要求的托管UI。

如何创建利用Cognito的SSO应用？我是否需要以某种方式使用联合身份？或AWS STS（甚至不确定它将如何发挥作用）。我查看了通过API网关包装一些Cognito调用的想法，但这导致我陷入了一个兔子洞，我基本上重写了一个服务器来实现OAuth2 / OCID规范，这完全没有意义。

是否有使用Cognito在我的所有应用中提供单一SSO体验？我不需要支持跨域应用程序，但需要该解决方案来支持SPA，基于经典会话的服务器Web应用程序和本机移动应用程序。