3.2Amazon Cognito によるユーザー認証

アプリのエンドユーザーのサインイン/サインアップを担うのが Amazon Cognito です。ユーザープールとアイデンティティプールの役割の違いが重要です。

3.2.1ユーザープールとアイデンティティプール

• ユーザープール：サインアップ/サインイン（認証）を提供し、成功すると JWT トークン（ID/アクセストークン）を発行する。「あなたは誰か」を扱う。
• アイデンティティプール（フェデレーテッド ID）：トークンを 一時的な AWS 認証情報 に交換し、S3 等へ直接アクセスさせる。「どの AWS アクセスを与えるか」を扱う。
• 外部 ID プロバイダー（Google・Facebook・SAML/OIDC 等）とのフェデレーションにも対応。
• API Gateway の Cognito オーソライザーでユーザープールの JWT を検証できる。

アプリのエンドユーザーをどう扱うかは、まず「認証（誰か）」と「AWS 認可（何にアクセスできるか）」を分けて考えます。ユーザープール はサインアップ/サインインを担い、成功すると JWT トークンを返します。アプリはこのトークンを API Gateway の Cognito オーソライザーに渡して保護 API を呼び出せます。一方、クライアントから S3 や DynamoDB などの AWS サービスを直接呼び出したい場合は アイデンティティプール を使い、ユーザープールや外部 ID プロバイダーのトークンを 一時的な AWS 認証情報 に交換します。両者は併用が基本で、「ユーザープールで認証 → アイデンティティプールで AWS 認可」という流れになります。MFA や Hosted UI、SRP によるパスワード保護もユーザープール側の機能です。

ユーザープールが発行するトークンは3種類あります。ID トークン はユーザーの属性（メール等）を含み、アクセストークン は API へのアクセス可否、リフレッシュトークン は失効したトークンの再取得に使います。いずれも JWT で、有効期限が切れたらリフレッシュトークンで更新します。セキュリティを高めるには MFA（SMS・TOTP）や、パスワードを平文で送らない SRP（Secure Remote Password） を使います。サインアップ前後やトークン生成時に独自処理を挟みたいときは Lambda トリガー（Pre/Post 認証、Pre トークン生成など）を使い、独自の検証やクレーム追加ができます。ログイン画面を自作せず素早く用意したいなら Hosted UI が便利で、Google などの外部 IdP ボタンも統合できます。これらはすべてユーザープール側の機能で、アイデンティティプールはあくまで「AWS 認証情報への交換役」に徹します。

3.2.2この節のまとめ

• ユーザープール＝認証（JWT）／アイデンティティプール＝一時 AWS 認証情報
• API Gateway は Cognito オーソライザーで JWT を検証