認証フロー

ユーザー名とパスワードによるクライアントベースの認証をアクティブ化するには、認証を許可するようにアプリケーションクライアントを設定します。Amazon Cognito コンソールで、ユーザープール設定の [アプリケーション] の下にある [アプリケーションクライアント] メニューに移動します。クライアント側のモバイルまたはネイティブアプリケーションでプレーンパスワードサインインを許可するには、アプリケーションクライアントを編集し、[認証フロー] で [ユーザー名とパスワード (ALLOW_USER_PASSWORD_AUTH) を使用してサインインします] を選択します。サーバー側のアプリケーションでプレーンパスワードサインインを許可するには、アプリケーションクライアントを編集し、[サーバー側の管理者認証情報 (ALLOW_ADMIN_USER_PASSWORD_AUTH) を使用してサインインします] を選択します。

ユーザー名とパスワードを使用して選択ベースの認証を有効にするには、それを許可するようにアプリケーションクライアントを設定します。アプリケーションクライアントを編集し、[選択ベースのサインイン: ALLOW_USER_AUTH] を選択します。

選択ベースの認証フローでパスワード認証が使用可能であることを確認するには、[サインイン] メニューに移動し、[選択ベースのサインインのオプション] セクションを確認します。[使用できる選択肢] に [パスワード] が表示されている場合は、プレーンパスワード認証でサインインできます。[パスワード] オプションには、プレーンパスワード認証や SRP ユーザー名パスワード認証があります。

CreateUserPoolClient リクエストまたは UpdateUserPoolClient リクエストで、希望するユーザー名パスワード認証オプションを使用して ExplicitAuthFlows を設定します。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_PASSWORD_AUTH",
   "ALLOW_ADMIN_USER_PASSWORD_AUTH",
   "ALLOW_USER_AUTH"
]

CreateUserPool リクエストまたは UpdateUserPool リクエストで、サポートする選択ベースの認証フローを使用して Policies を設定します。AllowedFirstAuthFactors の PASSWORD 値には、認証フローとしてプレーンパスワードと SRP の両方のオプションが含まれます。

"Policies": {
   "SignInPolicy": {
      "AllowedFirstAuthFactors": [
         "PASSWORD",
         "EMAIL_OTP",
         "WEB_AUTHN"
      ]
   }
}

ユーザー名パスワード認証を使用してユーザーをアプリケーションにサインインさせるには、AdminInitiateAuth リクエストまたは InitiateAuth リクエストの本文を、以下のように設定します。現在のユーザーがユーザー名パスワード認証の適格性を満たしている場合、このサインインリクエストは成功するか、次のチャレンジに進みます。それ以外の場合は、使用可能な [主な要因] 認証チャレンジのリストで応答します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "PASSWORD",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

PREFERRED_CHALLENGE 値を省略して、ユーザーの適格なサインイン要素のリストを含むレスポンスを受け取ることもできます。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

優先チャレンジを送信しなかったか、送信先のユーザーが優先チャレンジの適格性を満たしていない場合、Amazon Cognito はオプションのリストを AvailableChallenges で返します。AvailableChallenges に PASSWORD の ChallengeName が含まれている場合、RespondToAuthChallenge または AdminRespondToAuthChallenge チャレンジレスポンスによる認証を次の形式で続行できます。チャレンジレスポンスを、最初のサインインリクエストへの API レスポンスに関連付ける Session パラメータを渡す必要があります。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "ChallengeName": "PASSWORD",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's Password]"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response"
}

Amazon Cognito は、成功した適格な優先チャレンジリクエストと PASSWORD チャレンジレスポンスに対して、トークンを使用するか、多要素認証 (MFA) などの追加の必須チャレンジを使用して応答します。

ユーザー名パスワード認証を使用してクライアント側のアプリケーションにユーザーをサインインさせるには、InitiateAuth リクエストの本文を、以下のように設定します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "AuthFlow": "USER_PASSWORD_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

ユーザー名パスワード認証を使用してサーバー側のアプリケーションにユーザーをサインインさせるには、AdminInitiateAuth リクエストの本文を、以下のように設定します。アプリケーションは AWS 認証情報を使用して、このリクエストに署名する必要があります。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "AuthFlow": "ADMIN_USER_PASSWORD_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PASSWORD" : "[User's password]"
   },
   "ClientId": "1example23456789"
}

Amazon Cognito は、トークンを使用するか、多要素認証 (MFA) などの追加の必須チャレンジを使用して、成功したリクエストに応答します。

ユーザー名と SRP を使用したクライアントベースの認証を有効にするには、認証を許可するようにアプリケーションクライアントを設定します。Amazon Cognito コンソールで、ユーザープール設定の [アプリケーション] の下にある [アプリケーションクライアント] メニューに移動します。クライアント側のモバイルアプリまたはネイティブアプリで SRP サインインを許可するには、アプリケーションクライアントを編集し、[認証フロー] で [セキュアリモートパスワード (SRP) (ALLOW_USER_SRP_AUTH) を使用してサインインします] を選択します。

ユーザー名と SRP を使用した選択ベースの認証を有効にするには、アプリケーションクライアントを編集し、[選択ベースのサインイン: ALLOW_USER_AUTH] を選択します。

選択ベースの認証フローで SRP 認証が使用可能であることを確認するには、[サインイン] メニューに移動し、[選択ベースのサインインのオプション] セクションを確認します。[使用できる選択肢] に [パスワード] が表示されている場合は、SRP 認証でサインインできます。[パスワード] オプションには、プレーンテキスト認証や SRP ユーザー名パスワード認証があります。

CreateUserPoolClient リクエストまたは UpdateUserPoolClient リクエストで、希望するユーザー名パスワード認証オプションを使用して ExplicitAuthFlows を設定します。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_SRP_AUTH",
   "ALLOW_USER_AUTH"
]

CreateUserPool リクエストまたは UpdateUserPool リクエストで、サポートする選択ベースの認証フローを使用して Policies を設定します。AllowedFirstAuthFactors の PASSWORD 値には、認証フローとしてプレーンテキストパスワードと SRP の両方のオプションが含まれます。

"Policies": {
   "SignInPolicy": {
      "AllowedFirstAuthFactors": [
         "PASSWORD",
         "EMAIL_OTP",
         "WEB_AUTHN"
      ]
   }
}

SRP のユーザー名パスワード認証を使用してユーザーをアプリケーションにサインインさせるには、AdminInitiateAuth リクエストまたは InitiateAuth リクエストの本文を、以下のように設定します。現在のユーザーがユーザー名パスワード認証の適格性を満たしている場合、このサインインリクエストは成功するか、次のチャレンジに進みます。それ以外の場合は、使用可能な [主な要因] 認証チャレンジのリストで応答します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "PASSWORD_SRP",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789"
}

PREFERRED_CHALLENGE 値を省略して、ユーザーの適格なサインイン要素のリストを含むレスポンスを受け取ることもできます。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

優先チャレンジを送信しなかったか、送信先のユーザーが優先チャレンジの適格性を満たしていない場合、Amazon Cognito はオプションのリストを AvailableChallenges で返します。AvailableChallenges に PASSWORD_SRP の ChallengeName が含まれている場合、RespondToAuthChallenge または AdminRespondToAuthChallenge チャレンジレスポンスによる認証を次の形式で続行できます。チャレンジレスポンスを、最初のサインインリクエストへの API レスポンスに関連付ける Session パラメータを渡す必要があります。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

{
   "ChallengeName": "PASSWORD_SRP",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response"
}

Amazon Cognito は、適格な優先チャレンジリクエストと PASSWORD_SRP チャレンジレスポンスに対して、PASSWORD_VERIFIER チャレンジで応答します。クライアントは SRP 計算を完了し、RespondToAuthChallenge リクエストまたは AdminRespondToAuthChallenge リクエストでチャレンジに応答する必要があります。

{
   "ChallengeName": "PASSWORD_VERIFIER",
   "ChallengeResponses": { 
      "PASSWORD_CLAIM_SIGNATURE" : "string",
      "PASSWORD_CLAIM_SECRET_BLOCK" : "string",
      "TIMESTAMP" : "string"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

PASSWORD_VERIFIER チャレンジレスポンスが成功すると、Amazon Cognito はトークンを発行するか、多要素認証 (MFA) などの別の必要なチャレンジを発行します。

SRP 認証は、サーバー側よりもクライアント側での認証の方が一般的です。ただし、InitiateAuth と AdminInitiateAuth では SRP 認証を使用できます。ユーザーをアプリケーションにサインインさせるには、InitiateAuth リクエストまたは AdminInitiateAuth リクエストの本文を、以下のように設定します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

クライアントは、ジェネレータモジュロ N g をシークレットランダム整数の a 乗して SRP_A を生成します。

{
   "AuthFlow": "USER_SRP_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "SRP_A" : "[g^a % N]"
   },
   "ClientId": "1example23456789"
}

Amazon Cognito は PASSWORD_VERIFIER チャレンジで応答します。クライアントは SRP 計算を完了し、RespondToAuthChallenge リクエストまたは AdminRespondToAuthChallenge リクエストでチャレンジに応答する必要があります。

{
   "ChallengeName": "PASSWORD_VERIFIER",
   "ChallengeResponses": { 
      "PASSWORD_CLAIM_SIGNATURE" : "string",
      "PASSWORD_CLAIM_SECRET_BLOCK" : "string",
      "TIMESTAMP" : "string"
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

PASSWORD_VERIFIER チャレンジレスポンスが成功すると、Amazon Cognito はトークンを発行するか、多要素認証 (MFA) などの別の必要なチャレンジを発行します。

コンソール

パスワードなしのサインインを有効にするには、1 つ以上のパスワードなしのタイプでプライマリサインインを許可するようにユーザープールを設定し、USER_AUTH フローを許可するようにアプリケーションクライアントを設定します。Amazon Cognito コンソールで、ユーザープール設定の [認証] の下にある [サインイン] メニューに移動します。[選択ベースのサインインのオプション] を編集し、[メールメッセージのワンタイムパスワード] または [SMS メッセージワンタイムパスワード] を選択します。両方のオプションを有効にすることができます。変更内容を保存します。

[アプリケーションクライアント] メニューに移動し、アプリケーションクライアントを選択するか、新しいアプリケーションクライアントを作成します。[編集] を選択し、[サインイン時に認証タイプを選択: ALLOW_USER_AUTH] を選択します。

API/SDK

ユーザープール API で、CreateUserPool リクエストまたは UpdateUserPool リクエストで適切なパスワードなしのオプションを使用して SignInPolicy を設定します。

"SignInPolicy": { 
    "AllowedFirstAuthFactors": [ 
        "EMAIL_OTP",
        "SMS_OTP"
    ]
}

CreateUserPoolClient リクエストまたは UpdateUserPoolClient リクエストの必要なオプションを使用して、アプリケーションクライアント ExplicitAuthFlows を設定します。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_AUTH"
]

パスワードなしのサインインには、InitiateAuth や AdminInitiateAuth で指定できるクライアントベースの AuthFlow はありません。OTP 認証は、USER_AUTH の選択ベースの AuthFlow でのみ使用可能であり、希望するサインインオプションをリクエストするか、ユーザーの AvailableChallenges からパスワードなしのオプションを選択することができます。ユーザーをアプリケーションにサインインさせるには、InitiateAuth リクエストまたは AdminInitiateAuth リクエストの本文を、以下のように設定します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

この例では、ユーザーがどの方法でサインインするかわかりません。PREFERRED_CHALLENGE パラメータを追加し、優先チャレンジをユーザーに利用可能にすると、Amazon Cognito はそのチャレンジで応答します。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser"
   },
   "ClientId": "1example23456789"
}

この例では、代わりに "PREFERRED_CHALLENGE": "EMAIL_OTP" または "PREFERRED_CHALLENGE": "SMS_OTP" を AuthParameters に追加できます。ユーザーがその優先方法の適格性を満たしている場合、ユーザープールはユーザーの E メールアドレスまたは電話番号に即座にコードを送信し、"ChallengeName": "EMAIL_OTP" または "ChallengeName": "SMS_OTP" を返します。

優先チャレンジを指定しない場合、Amazon Cognito は AvailableChallenges パラメータで応答します。

{
   "AvailableChallenges": [ 
      "EMAIL_OTP", 
      "SMS_OTP",
      "PASSWORD"
    ],
   "Session": "[Session ID]"
}

このユーザーは、E メールメッセージの OTP、SMS メッセージの OTP、ユーザー名パスワードによるパスワードなしのサインインの適格性を満たしています。アプリケーションは、ユーザーに選択を求めるか、内部ロジックに基づいて選択を行うことができます。次に、RespondToAuthChallenge リクエストまたは AdminRespondToAuthChallenge リクエストに進み、チャレンジを選択できます。ユーザーが E メールメッセージの OTP を使用してパスワードなしの認証を完了したいとします。

{
   "ChallengeName": "SELECT_CHALLENGE",
   "ChallengeResponses": { 
      "USERNAME" : "testuser",
      "ANSWER" : "EMAIL_OTP" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

Amazon Cognito は EMAIL_OTP チャレンジで応答し、ユーザーの検証済み E メールアドレスにコードを送信します。アプリケーションは、このチャレンジに再度応答する必要があります。

EMAIL_OTP を PREFERRED_CHALLENGE としてリクエストした場合、これも次のチャレンジレスポンスとなります。

{
   "ChallengeName": "EMAIL_OTP",
   "ChallengeResponses": {
      "USERNAME" : "testuser", 
      "EMAIL_OTP_CODE" : "123456" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}

コンソール

パスキーによるサインインを有効にするには、1 つ以上のパスワードなしのタイプでプライマリサインインを許可するようにユーザープールを設定し、さらに USER_AUTH フローを許可するようにアプリケーションクライアントを設定します。Amazon Cognito コンソールで、ユーザープール設定の [認証] の下にある [サインイン] メニューに移動します。[選択ベースのサインインのオプション] を編集し、[利用できる選択肢] のリストに [パスキー] を追加します。

[認証方法] メニューに移動し、[パスキー] を編集します。

[アプリケーションクライアント] メニューに移動し、アプリケーションクライアントを選択するか、新しいアプリケーションクライアントを作成します。[編集] を選択し、[認証フロー] で [サインイン時に認証タイプを選択: ALLOW_USER_AUTH] を選択します。

API/SDK

ユーザープール API で、CreateUserPool リクエストまたは UpdateUserPool リクエストの適切なパスキーオプションを使用して SignInPolicy を設定します。パスキー認証の WEB_AUTHN オプションには、他のオプションの少なくとも 1 つを追加する必要があります。パスキー登録には、既存の認証セッションが必要です。

"SignInPolicy": { 
    "AllowedFirstAuthFactors": [ 
        "PASSWORD",
        "WEB_AUTHN"
    ]
}

ユーザー検証の設定と RP ID を SetUserPoolMfaConfig リクエストの WebAuthnConfiguration パラメータに指定します。パスキー認証結果の対象となる RelyingPartyId は、ユーザープールのプレフィックスドメインまたはカスタムドメインにするか、独自に選択したドメインにすることができます。

"WebAuthnConfiguration": { 
   "RelyingPartyId": "example.auth.us-east-1.amazoncognito.com",
   "UserVerification": "preferred"
}

CreateUserPoolClient リクエストまたは UpdateUserPoolClient リクエストの必要なオプションを使用して、アプリケーションクライアント ExplicitAuthFlows を設定します。

"ExplicitAuthFlows": [ 
   "ALLOW_USER_AUTH"
]

マネージドログインは、ユーザーのパスキー登録を処理します。ユーザープールでパスキー認証が有効な場合、Amazon Cognito は新規ユーザーアカウントの登録時にパスキーを設定するようユーザーに求めます。

ユーザーがサインアップ済みでパスキーを設定していないか、アカウントが管理者権限で作成されている場合、Amazon Cognito はパスキーを設定するようユーザーに促しません。この状態のユーザーは、パスキーを登録する前に、パスワードやパスワードなしの OTP など、別の要素でサインインする必要があります。

メタデータを使用してパスキーの認証情報を PublicKeyCreationOptions オブジェクトに登録します。このオブジェクトは、サインインしたユーザーの認証情報を使用して生成し、API リクエストでパスキー発行者に提示できます。発行者は、RegistrationResponseJSON オブジェクトを返して、パスキーの登録を確認します。

パスキー登録プロセスを開始するには、既存のサインインオプションを使用してユーザーをサインインさせます。現在のユーザーのアクセストークンを使用して、トークンで認可されたStartWebAuthnRegistration API リクエストを承認します。次に示すのは、GetWebAuthnRegistrationOptions リクエストの本文の例です。

{
   "AccessToken": "eyJra456defEXAMPLE"
}

ユーザープールからのレスポンスには、PublicKeyCreationOptions オブジェクトが含まれています。このオブジェクトを API リクエストでユーザーの発行者に提示します。オブジェクトは、パブリックキーや依拠しているパーティの ID などの情報を提供します。発行者は RegistrationResponseJSON オブジェクトで応答します。

CompleteWebAuthnRegistration API リクエストで (ユーザーのアクセストークンで再認可された) 登録レスポンスを提示します。ユーザープールから空の本文を持つ HTTP 200 レスポンスが返されると、ユーザーのパスキーが登録されています。

パスワードなしのサインインには、InitiateAuth および AdminInitiateAuth で指定できる AuthFlow はありません。代わりに、USER_AUTH の AuthFlow を宣言してサインインオプションをリクエストするか、ユーザープールからのレスポンスでパスワードなしのオプションを選択する必要があります。ユーザーをアプリケーションにサインインさせるには、InitiateAuth リクエストまたは AdminInitiateAuth リクエストの本文を、以下のように設定します。このパラメータセットは、サインインに必要な最小限のものです。その他のパラメータも使用可能です。

この例では、ユーザーがパスキーでサインインすることがわかっているため、PREFERRED_CHALLENGE パラメータを追加します。

{
   "AuthFlow": "USER_AUTH",
   "AuthParameters": { 
      "USERNAME" : "testuser",
      "PREFERRED_CHALLENGE" : "WEB_AUTHN"
   },
   "ClientId": "1example23456789"
}

Amazon Cognito は WEB_AUTHN チャレンジで応答します。アプリケーションは、このチャレンジに応答する必要があります。ユーザーのパスキープロバイダーを使用してサインインリクエストを開始します。AuthenticationResponseJSON オブジェクトが返されます。

{
   "ChallengeName": "WEB_AUTHN",
   "ChallengeResponses": {
      "USERNAME" : "testuser", 
      "CREDENTIAL" : "{AuthenticationResponseJSON}" 
   },
   "ClientId": "1example23456789",
   "Session": "[Session ID from the previous response]"
}