Amazon CognitoとGoogle CloudのOAuth 2.0 クライアントを連携させて、Google認証を実装してみた

## ユーザープールの作成
resource "aws_cognito_user_pool" "main" {
  name = "${var.project}-${var.env}-user-pool"
  auto_verified_attributes = ["email"]
  ## ユーザー属性の定義
  schema {
    name                = "email"
    attribute_data_type = "String"
    required            = true
    mutable             = true
  }
}

## ユーザープールのドメイン設定
resource "aws_cognito_user_pool_domain" "main" {
  domain       = "${var.project}-${var.env}-${var.cognito_domain_suffix}"
  user_pool_id = aws_cognito_user_pool.main.id
}

## ユーザープールのクライアント作成
resource "aws_cognito_user_pool_client" "app" {
  name         = "${var.project}-${var.env}-app-client"
  user_pool_id = aws_cognito_user_pool.main.id

  allowed_oauth_flows_user_pool_client = true
  allowed_oauth_flows                  = ["code"]
  ## 取得できる情報のスコープを設定
  allowed_oauth_scopes                 = ["openid", "email", "profile"]

  ## コールバックURLには、{アプリのスキーム}://oauth/callbackを入力
  callback_urls = var.callback_urls
  ## ログアウトURLには、{アプリのスキーム}://oauth/logoutを入力
  logout_urls   = var.logout_urls

  ## Google IdPが作成されている場合のみ追加
  ## Cognitoの標準認証も併用したい場合は、["COGNITO", "Google"]
  supported_identity_providers = ["Google"]

  explicit_auth_flows = [
    "ALLOW_REFRESH_TOKEN_AUTH",
    "ALLOW_USER_SRP_AUTH"
  ]
  generate_secret = false
}

## Google IdP設定
resource "aws_cognito_identity_provider" "google" {
  user_pool_id  = aws_cognito_user_pool.main.id
  provider_name = "Google"
  ## プロバイダーの種類
  provider_type = "Google"

  provider_details = {
    ## Googleから取得する情報の範囲
    authorize_scopes = "openid email profile"
    ## Google CloudのOAuth 2.0 クライアントIDとクライアントシークレット
    client_id        = var.google_client_id
    client_secret    = var.google_client_secret
  }

  attribute_mapping = {
    email    = "email"
    username = "sub"
  }
}