カスタム送信者の Lambda トリガー

() で対称暗号化キーを作成します AWS Key Management Service AWS KMS。Amazon Cognito は、一時パスワード、検証コード、認証ワンタイムパスワード、確認コードなどのシークレットを生成し、この KMS キーを使用して でシークレットを暗号化しますAWS Encryption SDK。その後、Lambda 関数 AWS Encryption SDK で を使用してシークレットを復号し、プレーンテキストでユーザーに送信できます。

ユーザープールを作成または更新する IAM プリンシパルは、Amazon Cognito がコードを暗号化するために使用する KMS キーに対して 1 回限りの権限を作成します。このプリンシパルに KMS キーのCreateGrantアクセス許可を付与します。この例の KMS キーポリシーを有効にするには、ユーザープールを更新する管理者が、IAM ロール の引き受けたロールセッションでサインインする必要がありますarn:aws:iam::111222333444:role/my-example-administrator-role。

環境に合わせて変更された次のリソースベースのポリシーを KMS キーに適用します。

{
    "Version": "2012-10-17",
    "Statement": [
    {
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/my-example-administrator-role"
        },
        "Action": "kms:CreateGrant",
        "Resource": "arn:aws:kms:us-west-2:111122223333:key/1example-2222-3333-4444-999example",
        "Condition": {
            "StringEquals": {
               "kms:EncryptionContext:userpool-id": "us-west-2_EXAMPLE"
            }
        }
    },
    {
        "Sid": "Allow Lambda to decrypt",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/my-lambda-function-role"
        },
        "Action": "kms:Decrypt",
        "Resource": "*"
    }]
} 

カスタム送信者トリガーのための Lambda 関数を作成します。Amazon Cognito は AWS 暗号化 SDK を使用してシークレット (一時パスワードまたはユーザーの API リクエストを承認するコード) を暗号化します。

1. 少なくとも KMS キーのkms:Decryptアクセス許可を持つ Lambda 実行ロールを割り当てます。

2. Lambda 関数コードを作成してメッセージを送信します。関数への入力イベントにはシークレットが含まれています。関数で、 を使用してシークレットを復号 AWS Encryption SDK し、関連するメタデータを処理します。次に、メッセージを配信するカスタム API に、コード、独自のカスタムメッセージ、宛先の電話番号を送信します。

3. Lambda 関数 AWS Encryption SDK に を追加します。詳細については、「AWS Encryption SDK programming languages」(AWS Encryption SDK のプログラミング言語) を参照してください。Lambda パッケージを更新するには、次のステップを完了します。

   1. Lambda 関数を.zip ファイルとして AWS Management Consoleにエクスポートします。

   2. 関数を開き、 を追加します AWS Encryption SDK。詳細とダウンロードリンクについては、AWS Encryption SDK デベロッパーガイドの「AWS Encryption SDK プログラミング言語」を参照してください。

   3. SDK の依存関係を使用して関数を ZIP 圧縮し、その関数を Lambda にアップロードします。詳細については、AWS Lambda デベロッパーガイドの「Lambda 関数の .zip ファイルアーカイブとしてのデプロイ」を参照してください。

Amazon Cognito サービスプリンシパルに、Lambda 関数を呼び出すための cognito-idp.amazonaws.com へのアクセス権を付与します。

次の AWS CLI コマンドは、Lambda 関数を呼び出すためのアクセス許可を Amazon Cognito に付与します。

aws lambda add-permission --function-name lambda_arn --statement-id "CognitoLambdaInvokeAccess" --action lambda:InvokeFunction --principal cognito-idp.amazonaws.com

カスタム送信者 Lambda トリガーを追加するLambdaConfigパラメータを使用して UpdateUserPool API リクエストを生成します。Amazon Cognito コンソールでこのタイプのトリガーを追加することはできません。カスタム送信者トリガーには、 KMSKeyIDおよび CustomEmailSender (CustomSMSSenderまたは両方) のLambdaConfigパラメータが必要です。