¿Es real bifurcar la sesión del usuario actual?

Por ejemplo:

Tenemos domain.com con autenticación actualmente implementada por el servicio AWS Cognito con Amplify SDK en el cliente.

Y ahora tenemos que mover una gran parte de lo funcional al subdominio sub.domain.com .

Las preguntas principales son:

• ¿Podemos tener un lugar de signIn de sesión único en domain.com para ambos dominios e implementar algo como una bifurcación de sesión para sub.domain.com (porque si solo compartimos la misma sesión entre el dominio y el subdominio, podría haber algunos problemas con refeshToken , porque es desechable)
• ¿Cuál es la mejor manera de compartir datos confidenciales entre el dominio y el subdominio?

UPD: Trataría de explicar más claro la lógica que tengo que implementar

1. hay dos clientes: domain.com (ya existe) y sub.domain.com (el último será)
2. la autenticación es manejada por AWS Cognito en la parte posterior y Amplify SDK en la parte delantera
3. domain.com y sub.domain.com tienen que compartir el mismo UserPool y UserPoolClient
4. ambos clientes tienen que comunicarse con los mismos puntos finales que requieren autenticación
5. el cliente en sub.domain.com no debe tener una signIn de signUp de sesión o registro
6. pero el cliente en sub.domain.com todavía tiene que mantener y actualizar la sesión (debido a 4 pasos)
7. entonces los negocios quieren algo como este comportamiento:
   • si va a sub.domain.com y ya ha iniciado sesión en domain.com , todo está bien (perfil de usuario/algunos datos privados se comparten entre estas dos aplicaciones) y el usuario puede usar la aplicación en sub.domain.com
   • Si un usuario abre sub.domain.com pero aún no está autorizado en domain.com , la aplicación en sub.domain.com debe detectar esto y notificar al usuario que debe autorizar en domain.com al principio. Y después de que el usuario hizo esto, sub.domain.com obtendrá sesión automáticamente de domain.com
8. PERO , si solo compartimos la misma sesión/datos del almacenamiento local entre dos aplicaciones, tendremos problemas potenciales con la actualización/manejo de tokens

Entonces, ¿podría haber alguna implementación diferente de esta lógica, como una bifurcación de sesión , o algo así?