Amazon CognitoとSpring Sercurityを使ったOAuth2 Loginの実装（2）

前回は、現在の実装状況や今後実現するOAuth2 Loginをベースとしたアーキテクチャを、以下のイメージのように整理しました。今回からは、OAuth2 Loginを実現するための認証／認可サーバとなる「Amazon Cognito」について概説し、環境を構築していきます。

Amazon Cognitoの概要

Amazon Cognitoは、AWSを提供する認証／認可機能を提供するサービスです。主要な機能はユーザーディレクトリ(ユーザー情報データベース)機能を提供する「ユーザープール」と、認証されたユーザーやGoogle、Apple、Facebookなどサードパーティープロバイダーで認証されたユーザーに、AWSサービスへアクセスするための認可を提供する「IDプール」機能に大別されます。

ユーザープールの主要な機能は以下の通りです。

また、IDプールでは認証されたユーザーに対して発行されたトークンを検証し、AWSサービスにアクセス可能な一時クレデンシャルを発行できます。

ユーザープールの環境構築

それでは、Amazon Cognitoを使ってユーザープールとIDプールを設定し、加えてOIDCプロバイダーとしてOAuth2 Loginが可能になるようにしていきましょう。手順はコンソールから設定する方法とCloudFormationを使って構築する2種類あります。

本連載では双方紹介しますが、アプリケーションからスタック経由で設定値を参照できる後者の方法を推奨します。ただし、設定内容を説明しやすいため、先にコンソールからの構築手順を解説します。

AWSコンソール上で Amazon Cognitoサービスから、「ユーザープールの管理」→「ユーザープールを作成する」を選択してください。

表示された画面の左側のメニューに沿って、ユーザープールの定義を行っていきます。「名前」「属性」……と順に設定していきましょう。

続く「ポリシー」では、パスワードのルールをポリシーとして設定します。

次に、多要素認証関連の設定を行います。

「メッセージのカスタマイズ」では、メールをユーザーに発信する際の設定を行います。

続く「タグ」では、Cognitoで作成するリソースにタグを付与できますが、今回は何も設定しません。また、「デバイス」ではユーザーデバイスを記憶させておく設定を行えますが、今回は行いません。

「アプリクライアント」では、Cognitoへアクセスするアプリケーションクライアントの設定を行います。本連載では、現状フロントエンドサブネットに配置したWebアプリケーションが相当します。

※　なお、「Lambda トリガーベースのカスタム認証を有効にする (ALLOW_CUSTOM_AUTH)」は LambdaでCognitoオーソライザーを行うときに利用します。「ユーザー名パスワードベースの認証を有効にする(ALLOW_USER_PASSWORD_AUTH)」および「SRP (セキュアリモートパスワード) プロトコルベースの認証を有効にする (ALLOW_USER_SRP_AUTH)」はいずれも、JavaScriptやモバイルアプリケーションなどからユーザー名パスワード認証を行うAPIを実行する場合に利用するオプションですが、特別な理由がない限り、セキュアパラメータやソルトを使ってより安全性を高めたSRPプロトコルベースの認証を選択したほうが良いでしょう。 詳細はAmazon Cognitoの開発者ガイド「クライアント側の認証フロー」も参考にしてください

最後の「トリガー」は、ユーザープールにおけるさまざまなイベント発生時にLambda関数を実行したい場合の設定オプションです。

*　*　*

今回は、Amazon Cognitoの概要を説明し、ユーザープールの設定方法について説明しました。次回以降は、このユーザープールの構築の中で作成したアプリクライアント定義にOAuth2 Loginとして必要な設定を行った後、IDプールを作成していきます。