Amazon Cognito の一般的な用語と概念

情報システムにアクセスするためのエンティティの認可に関する情報を含む JSON ウェブトークン (JWT)。

通常、モバイルアプリケーションを指します。このガイドで、アプリケーションとは、多くの場合、Amazon Cognito に接続するウェブアプリケーションまたはモバイルアプリケーションの略語です。

ユーザーの役職や部門などのユーザーのプロパティに基づいてアプリケーションがリソースへのアクセスを決定するモデル。ABAC を適用するための Amazon Cognito ツールには、ユーザープールの ID トークンとアイデンティティプールのプリンシパルタグが含まれます。

情報システムへのアクセスを目的として本人確認を行うプロセス。Amazon Cognito は、サードパーティの ID プロバイダーからの認証証明を受け入れるとともに、ソフトウェアアプリケーションの認証プロバイダーにもなります。

リソースにアクセス許可を付与するプロセス。ユーザープールのアクセストークンには、アプリケーションがユーザーやシステムに対してリソースへのアクセスを許可するための情報が含まれています。

JSON ウェブトークンを生成する OAuth または OpenID Connect (OIDC) システム。Amazon Cognito ユーザープールのマネージド認可サーバーは、ユーザープールの 2 つの認証および認可方法の認可サーバーコンポーネントです。ユーザープールは、SDK 認証で API チャレンジレスポンスフローもサポートしています。

ユーザーがアプリケーションサーバー上のコードとシークレットへのアクセスを使用してリモートに接続するアプリケーション。これは通常、ウェブアプリケーションです。

ユーザー ID を保存して検証するサービス。Amazon Cognito は、外部プロバイダーに認証をリクエストし、アプリケーションへの IdP として機能できます。

認証されたユーザーに関するクレームを含む JSON 形式のドキュメント。ID トークンはユーザーを認証し、アクセストークンはユーザーを認可し、更新トークンは認証情報を更新します。Amazon Cognito は外部プロバイダーからトークンを受け取り、アプリケーションまたは AWS STS にトークンを発行します。

ウェブサーバーアプリケーション層など、非ユーザーインタラクティブなマシンエンティティの API エンドポイントへのリクエストを認可するプロセス。ユーザープールは、アクセストークンの OAuth 2.0 スコープを使用して、クライアント認証情報の付与における M2M 認可を提供します。

ユーザーがユーザー名とパスワードを入力した後に追加の認証を行う必要があるという要件。Amazon Cognito ユーザープールには、ローカルユーザー用の MFA 機能があります。

JWT アクセスと更新トークンを提供するユーザープールまたはアイデンティティプールへの IdP。Amazon Cognito ユーザープールは、ユーザーが認証された後にソーシャルプロバイダーとのインタラクションを自動化します。

OAuth 仕様を拡張して ID トークンを提供するユーザープールまたはアイデンティティプールへの IdP。Amazon Cognito ユーザープールは、ユーザーが認証された後に OIDC プロバイダーとのインタラクションを自動化します。

ユーザーのデバイス上の暗号化キー (パスキー) で認証の証明を行う認証形式。ユーザーは、ハードウェアやソフトウェア認証ツールの生体認証または PIN コードメカニズムを通じて本人確認を行います。パスキーは、フィッシング攻撃に耐性があり、特定のウェブサイトやアプリケーションにバインドされているため、パスワードなしで安全に操作できます。Amazon Cognito ユーザープールは、パスキーを使用したサインインをサポートしています。

ユーザーがパスワードを入力する必要がない認証形式。パスワードなしのサインイン方法には、E メールアドレスと電話番号、およびパスキーに対して送信されるワンタイムパスワード (OTP) が含まれます。Amazon Cognito ユーザープールは、OTP とパスキーを使用したサインインをサポートしています。

コードがローカルに保存され、シークレットへのアクセスを持たない、デバイス上で自己完結するアプリケーション。これは通常、モバイルアプリケーションです。

アクセスコントロールを持つ API。また、Amazon Cognito ユーザープールは、リソースサーバーを使用して、API を操作するための設定を定義するコンポーネントを記述します。

ユーザーの職能指定に基づいてアクセスを許可するモデル。Amazon Cognito アイデンティティプールは、各 IAM ロールを区別して RBAC を実装します。

ユーザーが信頼できることをアサートするために IdP に依存するアプリケーション。Amazon Cognito は、外部 IdP の SP として、また、アプリケーションベースの SP の IdP として機能します。

ユーザーが Amazon Cognito に渡すデジタル署名されたアサーションドキュメントを生成するユーザープールまたはアイデンティティプールへの IdP。

オブジェクトに適用される 128 ビットのラベル。Amazon Cognito UUID はユーザープールまたはアイデンティティプールごとに一意ですが、特定の UUID 形式に準拠していません。

特定の情報を他のシステムに提供するユーザーとその属性の集合。Amazon Cognito ユーザープールはユーザーディレクトリであり、外部ユーザーディレクトリのユーザーを統合するためのツールでもあります。

潜在的な悪意のあるアクティビティを検出し、ユーザープロファイルに追加のセキュリティを適用する高度なセキュリティの機能。

ユーザープールの設定を 1 つのアプリケーションへの IdP として定義するコンポーネント。

アプリケーションクライアントの設定と、ユーザープールの認可サーバーへのリクエストのパラメータ。コールバック URL は、アプリケーションの認証済みユーザーの最初の送信先です。

ユーザープールでの API 認証形式であり、各ユーザーは複数のサインイン方法から選択できます。ユーザー名とパスワード (MFA を使用または不使用)、パスキーによるサインイン、E メールまたは SMS メッセージのワンタイムパスワードによるパスワードなしのサインインなどから選択できます。アプリケーションは、認証オプションのリストをリクエストするか、希望するオプションを宣言することで、ユーザーが選択するプロセスを方向付けることができます。

クライアントベースの認証と比較してください。

ユーザープールの API と AWS SDK で構築されたアプリケーションのバックエンドを使用した認証形式。宣言型認証の場合、アプリケーションはユーザーが実行すべきログインタイプを独自に決定し、そのタイプを事前にリクエストします。

選択ベースの認証と比較してください。

攻撃者が知っている可能性のあるユーザーパスワードを検出し、ユーザープロファイルに追加のセキュリティを適用する高度なセキュリティ機能。

新しいユーザーがサインインできるように、前提条件が満たされていると判断するプロセス。確認は通常、E メールアドレスまたは電話番号の検証を通じて行われます。

Lambda トリガーを使用した認証プロセスの拡張で、追加のユーザーチャレンジとレスポンスを定義するもの。

MFA を、信頼されたデバイスの ID を使用するサインインに置き換える認証プロセス。

AWS でマネージドログインページをホストするウェブドメイン。独自に所有するドメインで DNS を設定することも、AWS が所有するドメインで識別用のサブドメインプレフィックスを使用することもできます。

ユーザープールの最新の開発が含まれた機能プラン。エッセンシャルプランには、プラスプランの自動学習型セキュリティ機能は含まれていません。

ユーザープールと信頼関係がある IdP。ユーザープールは、外部プロバイダーとアプリケーション間の中間エンティティとして機能し、SAML 2.0、OIDC、およびソーシャルプロバイダーによる認証プロセスを管理します。ユーザープールは、外部プロバイダーの認証結果を 1 つの IdP に統合するため、アプリケーションは単一の、OIDC に依拠しているパーティのライブラリで多数のユーザーを処理できます。

ユーザープールに選択できる機能のグループ。機能プランごとに AWS 請求のコストは異なります。新しいユーザープールには、デフォルトでエッセンシャルプランが適用されます。

外部プロバイダーによって認証されたユーザープール内のユーザー。

ユーザープールドメインにおける認証フロントエンド、依拠しているパーティ、および ID プロバイダーサービスの初期バージョン。ホストされた UI は、基本的な機能セットと、シンプルな外観と操作感を備えています。ロゴ画像ファイルと事前定義済みの CSS スタイルセットを含むファイルをアップロードして、ホステッド UI ブランディングを適用できます。マネージドログインと比較してください。

ユーザープールがユーザー認証プロセスのキーポイントで自動的に呼び出すことができる AWS Lambda 関数。Lambda トリガーを使用して認証結果をカスタマイズできます。

ユーザープールユーザーディレクトリ内のユーザープロファイルで、外部プロバイダーによる認証によって作成されなかったもの。

ID がローカルユーザーとマージされる外部プロバイダーのユーザー。

ユーザープールの最初にリリースされた機能が含まれている機能プラン。ライトプランには、エッセンシャルプランの新機能やプラスプランの自動学習型セキュリティ機能は含まれていません。

マネージドログインのコンポーネントであり、ユーザープールドメインで、IdP とアプリケーションとのやり取り用のサービスをホストします。ホストされた UI は、マネージドログインとは、提供するユーザーインタラクティブ機能が異なりますが、認可サーバー機能は同じです。

ユーザープールドメインで、ユーザー認証用のサービスをホストする一連のウェブページ。これらのサービスには、IdP、サードパーティ IdP に依拠しているパーティ、およびユーザーインタラクティブ認証 UI のサーバーとして動作する機能が含まれています。ユーザープールのドメインを設定すると、Amazon Cognito のすべてのマネージドログインページがオンラインになります。

アプリケーションは、OIDC ライブラリをインポートすることで、ユーザーのブラウザを起動してマネージドログイン UI に誘導し、サインアップ、サインイン、パスワード管理、その他の認証オペレーションを行います。認証後、OIDC ライブラリは認証リクエストの結果を処理できます。

ユーザーインタラクティブなブラウザページまたは HTTPS API リクエストを使用して、ユーザープールドメインのサービスにサインインします。アプリケーションは OpenID Connect (OIDC) ライブラリを使用してマネージドログイン認証を処理します。このプロセスには、外部プロバイダーによるサインイン、インタラクティブマネージドログインページによるローカルユーザーのサインイン、M2M 認可が含まれます。クラシックのホストされた UI による認証も、この用語に該当します。

AWS SDK 認証と比較してください。

ユーザープールの最新の開発と高度なセキュリティ機能を備えた機能プラン。

AWS SDK を使用してアプリケーションのバックエンドに追加できる認証および認可 API オペレーションのセット。この認証モデルには、独自のカスタム構築したログインメカニズムが必要です。API は、ローカルユーザーとリンクされたユーザーにサインインできます。

マネージドログイン認証と比較してください。

ユーザープールでの脅威保護とは、認証および認可メカニズムに対する脅威を軽減するように設計されたテクノロジーを指します。アダプティブ認証、漏えいした認証情報の検出、IP アドレスのブロックリストは、脅威保護のカテゴリに含まれます。

実行時にユーザーの ID またはアクセストークンを変更するトークン生成前の Lambda トリガーの結果。

OIDC IdP と連携するアプリケーションの認証および認可サービスを持つ AWS リソース。

ユーザーが E メールアドレスまたは電話番号を所有していることを確認するプロセス。ユーザープールは、新しい E メールアドレスまたは電話番号を入力したユーザーにコードを送信します。Amazon Cognito にコードを送信すると、ユーザーがメッセージの送信先を所有していることを検証して、ユーザープールから追加のメッセージを受信できます。また、「確認」を参照してください。

ユーザーディレクトリ内のユーザーのエントリ。サードパーティ IdP のユーザーを含むすべてのユーザーは、ユーザープールにプロファイルを持ちます。

アイデンティティプールでの属性ベースのアクセスコントロールの実装。アイデンティティプールは、ユーザー認証情報にユーザー属性をタグとして適用します。

ユーザー認証情報のリクエストをカスタマイズできる認証プロセス。

デベロッパー認証情報を使用してアイデンティティプールのユーザー認証情報を認可する認証プロセス。

アイデンティティプール管理者の IAM API キー。

IAM ロールを選択し、アイデンティティプールで定義したロジックに従ってプリンシパルタグを適用する認証フロー。

アプリケーションユーザーとそのユーザー認証情報を、アイデンティティプールと信頼関係がある外部ユーザーディレクトリ内のプロファイルにリンクする UUID。

一時的な AWS 認証情報を使用するアプリケーションの認証および認可サービスを持つ AWS リソース。

アイデンティティプール IdP でサインインしていないユーザー。認証前に、ユーザーが単一の IAM ロールに対して制限付きユーザー認証情報を生成することを許可できます。

アイデンティティプール認証後にユーザーが受け取る一時的な AWS API キー。