[アップデート]Cognitoユーザープールが発行する各種トークンの有効期限が細かく設定できるようになりました

#Amazon Cognito

#AWS

岩田智哉

2020.08.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

CX事業本部＠大阪の岩田です。

本日付のアップデートでCognitoユーザープールが発行する各種トークンの有効期限が細かく設定できるようになりましたので、簡単に内容をご紹介します。

これまでとこれから

Cognitoユーザープールが発行するトークンは

アクセストークン
IDトークン
リフレッシュトークン

の3種類があります。

各トークンの意味合いについてはこちらのブログを参照して下さい。

今回のアップデート前後で各種トークンに指定可能な有効期限は以下のように変わります。

	~ 2020/8/13	2020/8/13 ~
アクセストークン	1時間固定	5分~1日(デフォルト1時間)
IDトークン	1時間固定	5分~1日(デフォルト1時間)
リフレッシュトークン	1日～3650日 (デフォルト30日)	1時間～3650日(デフォルト30日)

※アクセストークン、IDトークンの最大有効期限を1時間とタイポしていたので修正しましたm(_ _)m

これまではアクセストークン/IDトークン漏洩時のリスクを小さくするために有効期限を1時間未満に設定するといったことができませんでしたが、今回のアップデートにより最小5分の有効期限が設定できるようになりました。

マネコンの表示はこんな感じです。

トークンの有効期限はアプリクライアントごとの設定となります。

やってみる

試しに各種トークンの有効期限を短く設定したアプリクライアントを作成して、発行されたトークンの有効期限を検証してみます。

試しにアクセストークン、IDトークンを5分に設定してみました。パパっと検証するためにALLOW_USER_PASSWORD_AUTHにチェックを入れています。

アプリクライアントが作成できたらユーザープールに適当なユーザーを登録し、AWS CLIからトークンを取得します。

$ aws cognito-idp initiate-auth --auth-flow USER_PASSWORD_AUTH  --client-id <クライアントID> --auth-parameters "USERNAME=<ユーザー名>,PASSWORD=<パスワード>"

{
    "ChallengeParameters": {},
    "AuthenticationResult": {
        "AccessToken": "eyJraW...略",
        "ExpiresIn": 300,
        "TokenType": "Bearer",
        "RefreshToken": "eyJjd...略",
        "IdToken": "eyJraWQiOiJF...略"
    }
}

レスポンスに含まれるIDトークンとアクセストークンをjwt.ioで検証してみましょう。

アクセストークンはこちら