Amazon Cognito によるエンドユーザー認証

AWS へのアプリケーションデプロイ

Dunieski Otano

Amazon Web Services Solutions Architect

ログインを自作しますか？

• 新しいアプリにはサインアップとサインインの機能が必要です
• チームは認証機能をゼロから構築しようとしています
• Cognito はすでにこれを安全に実現します

ユーザープールと ID プールの違い

• ユーザープール：エンドユーザーのマネージドディレクトリ
• サインアップ・サインインを処理し、トークンを発行します
• ID プール：ログイン情報をAWS 認証情報と交換します
• 組み合わせて使用：認証後に AWS アクセスを認可します

Cognito の 3 種類のトークン

• ID トークン：ユーザーの身元（ID クレーム）
• アクセストークン：ユーザーが呼び出せる操作
• リフレッシュトークン：再ログインなしで新しいトークンを取得
• 3 つすべてはデコードおよび検証可能なJWT です

フェデレーション ID

• フェデレーション：外部 ID プロバイダーでサインイン
• ソーシャル：Google、Facebook、Apple
• エンタープライズ：SAML および OIDC プロバイダー
• Cognito が信頼を仲介し、独自のトークンを発行します

API Gateway オーソライザーとしての Cognito

• API Gateway はCognito オーソライザーを使用できます
• クライアントはAuthorization ヘッダーにトークンを付けて送信します
• API Gateway はバックエンド実行前にトークンを検証します
• 無効または期限切れのトークンはエッジで拒否されます

サインインから API 呼び出しまでの典型的なフロー

• ユーザーがユーザープールにサインインします
• ID トークン、アクセストークン、リフレッシュトークンを受け取ります
• クライアントはアクセストークンを付けて API Gateway を呼び出します
• Cognito オーソライザーが検証後、バックエンドが実行されます

Cognito のよくある間違い

• アクセストークンが必要な箇所にID トークンを送信してしまう
• ユーザープールと ID プールを混同する
• ユーザープールだけでAWS アクセスを認可しようとする
• クライアント上でトークンを安全でない方法で保存する

練習しましょう！

AWS へのアプリケーションデプロイ