ユーザーは、サードパーティのIdPを介してAmazon Cognito経由でAPIに認証します。開発者は、IdP属性DepartmentをカスタムLambdaオーソライザーにマッピングし、Sales部門のユーザーのみを許可するつもりでした。開発者はIdPで自分の部門をSalesに変更しましたが、アクセスは拒否されたままです。ログには、アクセストークンがまだDepartment=Engineeringであることが示されています。トークンがSalesではなくEngineeringを報告している理由として考えられるのはどれですか？

カスタムLambdaオーソライザーで認証キャッシュが有効になっている場合、オーソライザーは以前の認証結果を一定期間保持します。ユーザーがIdPで部門を「Sales」に変更しても、キャッシュされた古いトークン（Department=Engineering）が使用され続けるため、アクセスが拒否されます。この問題を解決するには、キャッシュの有効期限が切れるのを待つか、キャッシュを無効にする必要があります。 Amazon Cognitoユーザープールには認証キャッシュの機能はありません。IAMロールのタグは、Lambdaオーソライザーの実行権限やCognitoユーザープールの動作には影響しますが、アクセストークンの内容やキャッシュの動作には直接関係ありません。