翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

リダイレクトエンドポイントと認可エンドポイント

/oauth2/authorize エンドポイントは、2 つのリダイレクト先をサポートするリダイレクトエンドポイントです。URL に identity_provider または idp_identifier のパラメータを含めると、ユーザーはその ID プロバイダー (IdP) のサインインページにそのままリダイレクトされます。それ以外の場合は、リクエストに含まれるものと同じ URL パラメータを持つ ログインエンドポイント にリダイレクトされます。

認証エンドポイントは、マネージドログインまたは IdP サインインページにリダイレクトされます。このエンドポイントにおけるユーザーセッションの送信先は、ユーザーがブラウザで直接操作する必要があるウェブページです。

認可エンドポイントを使用するには、ユーザープールに以下のユーザープールの詳細に関する情報を提供するパラメータを使用して、ユーザーのブラウザを /oauth2/authorize で呼び出します。

また、Amazon Cognito が受信クレームの検証に使用する state および nonce パラメータを提供することもできます。

GET /oauth2/authorize

/oauth2/authorize エンドポイントは HTTPS GET のみをサポートします。アプリは通常、このリクエストをユーザーのブラウザで開始します。/oauth2/authorize エンドポイントへのリクエストは、HTTPS でのみ行うことができます。

OpenID Connect (OIDC) 標準における認可エンドポイントの定義の詳細については、「Authorization Endpoint」(認可エンドポイント) を参照してください。

リクエストパラメータ

例: 認可コードの付与

これは、認可コード付与のリクエストの例です。

次のリクエストは、ユーザーが redirect_uri 送信先でアプリケーションに渡す認可コードを取得するセッションを開始します。このセッションでは、ユーザー属性用スコープと、Amazon Cognito セルフサービス API オペレーションへのアクセス用スコープをリクエストします。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=openid+profile+aws.cognito.signin.user.admin

Amazon Cognito 認証サーバーは、認可コードとステートを伴ってリダイレクトしアプリに戻ります。認可コードは 5 分間有効です。

HTTP/1.1 302 Found
Location: https://www.example.com?code=a1b2c3d4-5678-90ab-cdef-EXAMPLE11111&state=abcdefg

例: PKCE を使用した認可コードの付与

このフロー例では、PKCE を使用して認可コード付与を実行します。

このリクエストは code_challengeパラメータを追加します。トークンのコード交換を完了するには、/oauth2/token エンドポイントへのリクエストに code_verifier パラメータを含める必要があります。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=aws.cognito.signin.user.admin&
code_challenge_method=S256&
code_challenge=a1b2c3d4...

認可サーバーは、認可コードと状態でアプリケーションにリダイレクトします。アプリケーションは認可コードを処理し、トークンと交換します。

HTTP/1.1 302 Found
Location: https://www.example.com?code=a1b2c3d4-5678-90ab-cdef-EXAMPLE11111&state=abcdefg

例: で再認証を要求する prompt=login

次のリクエストは、既存のセッションがある場合でも、ユーザーが再度認証する必要があるprompt=loginパラメータを追加します。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=openid+profile+aws.cognito.signin.user.admin&
prompt=login

認可サーバーはログインエンドポイントにリダイレクトされ、再認証が必要になります。

HTTP/1.1 302 Found Location: https://mydomain.auth.us-east-1.amazoncognito.com/login?response_type=code&client_id=1example23456789&redirect_uri=https://www.example.com&state=abcdefg&scope=openid+profile+aws.cognito.signin.user.admin&prompt=login

例: を使用したサイレント認証 prompt=none

次のリクエストでは、ユーザーが有効なセッションを持っているかどうかをサイレントに確認するprompt=noneパラメータを追加します。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=openid+profile+aws.cognito.signin.user.admin&
prompt=none

有効なセッションが存在しない場合、認可サーバーはリダイレクト URI にエラーを返します。

HTTP/1.1 302 Found Location: https://www.example.com?error=login_required&state=abcdefg

有効なセッションが存在する場合、認可サーバーは認可コードを返します。

HTTP/1.1 302 Found Location: https://www.example.com?code=AUTHORIZATION_CODE&state=abcdefg

例: リソースバインディングを使用した認可コード付与

次のリクエストは、アクセストークンを特定のリソースサーバーにバインドするresourceパラメータを追加します。結果のアクセストークンは、ターゲット API の条件を作成して、それが認証されたユーザーのリクエストの対象者であることを検証します。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=solar-system-data-api.example.com/asteroids.add&
resource=https://solar-system-data-api.example.com

認可サーバーは、 のaudクレームを持つアクセストークンとなる認可コードを返しますhttps://solar-system-data-api.example.com。

HTTP/1.1 302 Found Location: https://www.example.com?code=AUTHORIZATION_CODE&state=abcdefg

例: openidスコープなしのトークン (暗黙的) 許可

このフロー例では、暗黙的な許可を生成しJWTs をユーザーのセッションに直接返します。

リクエストは、認可サーバーからの暗黙的な許可に対するものです。ユーザープロファイルのセルフサービスオペレーションを許可するアクセストークンのスコープをリクエストします。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=token&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=aws.cognito.signin.user.admin

認可サーバーは、アクセストークンのみを使用してアプリケーションにリダイレクトします。openid スコープがリクエストされなかったため、Amazon Cognito は ID トークンを返しません。また、Amazon Cognito はこのフローで更新トークンを返しません。

HTTP/1.1 302 Found
Location: https://example.com/callback#access_token=eyJra456defEXAMPLE&token_type=bearer&expires_in=3600&state=STATE

例: openidスコープを含むトークン (暗黙的) 許可

このフロー例では、暗黙的な許可を生成し、トークンをユーザーのブラウザに返します。

リクエストは、認可サーバーからの暗黙的な許可に対するものです。ユーザー属性とセルフサービスオペレーションへのアクセスを許可するアクセストークンのスコープをリクエストします。

GET
https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize? 
response_type=token& 
client_id=1example23456789& 
redirect_uri=https://www.example.com& 
state=abcdefg&
scope=aws.cognito.signin.user.admin+openid+profile
                    

認可サーバーは、アクセストークンと ID トークンを使用してアプリケーションにリダイレクトします (openidスコープが含まれていたため）。

HTTP/1.1 302 Found
Location: https://www.example.com#id_token=eyJra67890EXAMPLE&access_token=eyJra12345EXAMPLE&token_type=bearer&expires_in=3600&state=abcdefg

否定応答の例

Amazon Cognito はリクエストを拒否する場合があります。否定リクエストには、HTTP エラーコードと、リクエストパラメータの修正に使用できる説明が付属しています。否定応答の例を次に示します。