AWSセキュリティ

Amazon Cognitoとは

モバイル・Webアプリケーションのユーザー認証・認可・ユーザー管理を提供するサービス。ユーザープール（認証・ユーザーディレクトリ）とIDプール（フェデレーテッドID・AWS認証情報の払い出し）の2つのコンポーネントで構成される。

Google・Facebook・Apple等のソーシャルIDPやSAML/OIDCによる企業IdPとのフェデレーションをサポート。JWT（JSON Web Token）を発行し、API GatewayやALBのオーソライザーとして使用できる。

試験での問われ方

「アプリユーザーのサインアップ・サインインを管理したい」「モバイルアプリからAWSリソースに直接アクセスしたい」シナリオではCognitoを選ぶ。IAMとの使い分けは「社内ユーザー（IAM）」か「エンドユーザー（Cognito）」か。

ユーザープールはJWT発行のみ（AWSへのアクセス権限なし）、IDプールは一時的なAWS認証情報を払い出すという役割の違いが引っかけとして頻出。