[アップデート] Amazon Cognito ユーザープールに「機能 Tier」の概念が追加されたので、Tier ごとに利用可能な機能をまとめてみた

こんにちは、製造ビジネステクノロジー部の若槻です。

Amazon Cognito のサービスアップデートで「機能 Tier」の概念が追加され、ユーザープールで利用可能な機能が Tier ごとに分かれるようになりました。

https://aws.amazon.com/about-aws/whats-new/2024/11/new-feature-tiers-essentials-plus-amazon-cognito/

この「機能 Tier」は設定メニュー内では「機能プラン」とも表記されていますが、基本的に同じ概念を指しているようです。

料金計算の詳しい変更内容については下記が参考になります。

https://dev.classmethod.jp/articles/new-feature-tiers-cognito/

本記事では、ユーザープールの Tier の設定メニューをマネジメントコンソールから確認しつつ、Tier ごとに利用可能な機能をまとめてみました。

先にまとめ

まず先に、Tier ごとに利用可能な機能をまとめたテーブルが以下となります。

Tier ごとに利用可能な機能

Cognito ユーザープールの Tier では以下の 4 つが利用可能となっています。

機能	Lite	Lite + ASF (※)	Essentials	Plus
99.9% の可用性サービスレベル契約	✓	✓	✓	✓
ユーザー数 4,000 万人以上	✓	✓	✓	✓
ソーシャル、SAML、OIDC プロバイダーへのサインイン	✓	✓	✓	✓
ユーザー名とパスワードでサインイン	✓	✓	✓	✓
認証アプリと SMS ワンタイムコードによる MFA	✓	✓	✓	✓
Lambda トリガーを使用したカスタムランタイムアクション	✓	✓	✓	✓
CSS によるマネージドログインページのカスタマイズ	✓	✓	✓	✓
ブランディングデザイナーによるマネージドログインページのカスタマイズ			✓	✓
メールワンタイムコード付きの MFA		✓	✓	✓
ワンタイムコードによるパスワードなしのサインイン			✓	✓
生体認証とハードウェアキーによるパスキーサインイン			✓	✓
最近使用したパスワードを再利用できないようにする		✓	✓	✓
実行時にアクセストークンのスコープとクレームをカスタマイズ		✓	✓	✓
安全でないパスワードからの保護		✓		✓
悪意のあるログイン試行からの保護		✓		✓
ユーザーアクティビティの記録と分析		✓		✓
ユーザーアクティビティログをエクスポートする		✓		✓

「Lite + ASF」は Lite に、以前の Advanced Security Feature (ASF) の機能が利用可能となっている Tier で、後述の通りアップデート以前に作成された ASF 有効化済みのユーザープールの移行先としてのみ利用可能なプランです。逆に Lite + ASF で利用ができないのは機能 Tier と同タイミングのアップデートで追加された下記の 2 つの機能となります。

https://aws.amazon.com/about-aws/whats-new/2024/11/amazon-cognito-passwordless-authentication-low-friction-secure-logins/
https://aws.amazon.com/about-aws/whats-new/2024/11/amazon-cognito-managed-login/

既存のユーザープールの移行先 Tier

アップデート以前に作成されていたユーザープールは、ASF の設定状況によって移行先の Tier が異なります。

ASF の設定状況	移行先 Tier
無効	Lite
有効	Lite + ASF

また一度 Lite + ASF から Tier を変更したら、Lite + ASF に戻すことはできません。このことからも Lite + ASF は過渡的な Tier であることが分かります。

マネジメントコンソールから Tier の設定メニューを確認してみる

新規作成したユーザープールの場合

今回のアップデート後に新規作成したユーザープールの場合、デフォルトで Essentials が選択されます。

Tier の変更メニューは [Settings > Feature plan] からアクセスします。下記のように Tier ごとに利用可能な機能が整理されたテーブルのメニューとなっています。そして前述の通り変更先は Lite、Essentials または Plus のみとなります。

日本語 UI の場合の Tier 変更メニュー

既存のユーザープール（ASF 有効）の場合

アップデート以前に作成した既存のユーザープールで Advanced Security Feature が有効だった場合は「Lite + ASF」Tier に移行されます。

Tier の変更メニューです。

Lite + ASF の場合は Plus 以外に切り替える場合は ASF の機能を無効化するように求められます。

[Switch to Essentials] をクリックしてみます。

するとASF の機能の無効化を促すメニューに遷移します。

ちなみにこちらの試算結果にある通り、Lite+ASF の料金は 10,000,000 MAU 以上とならない限りは Essentials や Plus よりも課金が高額となります。

今まで ASF でどのような機能を活用していたかを把握しつつ、Lite+ASF 以外のプランへの移行を検討するのが良さそうです。

既存のユーザープール（ASF 無効）の場合

アップデート以前に作成した既存のユーザープールで Advanced Security Feature が無効だった場合は「Lite」Tier に移行されます。

Tier の変更メニューです。Lite の場合は特に既存の設定を変更することなく Essentials または Plus に切り替えることが可能です。

（おまけ）新規作成したユーザープールの Tier について

ユーザープールを新規作成する場合は、マネジメントコンソールからの操作時は Essentials で作成されますが、API や AWS CLI では UserPoolTier プロパティを使用して Lite、Essentials および Plus のいずれかを選択可能です。

https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_CreateUserPool.html#CognitoUserPools-CreateUserPool-request-UserPoolTier

https://awscli.amazonaws.com/v2/documentation/api/latest/reference/cognito-idp/create-user-pool.html

おわりに

Amazon Cognito ユーザープールに「機能 Tier」の概念が追加されたので、Tier ごとに利用可能な機能をまとめてみました。

今日は今回紹介した以外にも Cognito では下記のような認証やセキュリティ周りの機能が追加されており、それらと合わせて ASF 周りの機能提供方法を整理した感じでしょうか。

https://aws.amazon.com/jp/about-aws/whats-new/2024/11/amazon-cognito-managed-login/
https://aws.amazon.com/jp/about-aws/whats-new/2024/11/amazon-cognito-passwordless-authentication-low-friction-secure-logins/

Amazon Cognito がユーザーディレクトリおよび認証サービスとしてますます選定するに値するサービスとなってきたのではないでしょうか。

以上