ステップ2：ユーザー認証システムの構築 - Amazon CognitoとJWTトークン実装

今回のステップの概要とモバイルアプリとの関連について

このステップでは、ステップ1で構築したAPI基盤にユーザー認証システムを追加します。具体的には、Amazon Cognito、JWTトークン、ユーザー管理、セキュリティ機能を実装してモバイルアプリのセキュアな認証基盤を構築します。

モバイルアプリにとって、ユーザー認証システムは「会員証や入場パス」のような役割を果たします。Cognitoは受付で本人確認を行い、JWTトークンは会員証のような存在で、アプリ内のさまざまな機能を安全に使えるようにします。これにより、ユーザーの個人情報や位置情報を適切に保護できます。

このステップで学ぶこと

• Amazon CognitoのUser Pool作成とユーザー管理
• JWTトークンの仕組みと認証フローの実装
• 認証・認可のセキュリティベストプラクティス
• API GatewayでのCognito認証の統合

リソースの関わりと構成説明

ステップ2で作成するリソースは、モバイルアプリケーションのセキュリティ基盤を構築するものです。それぞれのリソースがモバイルアプリにどのように関わるのかを説明します。

Amazon Cognito User Poolとモバイルアプリの関わり

Amazon Cognito User Pool「ユーザー認証プール」は、モバイルアプリケーションの「会員管理システム」のような役割を果たします。ユーザーの登録、ログイン、パスワード管理、メール認証などを一元的に管理し、セキュアな認証機能を提供します。これにより、独自の認証システムを構築する必要がなく、セキュリティリスクを大幅に軽減できます。

JWTトークンとモバイルアプリの関わり

JWTトークン「認証トークン」は、モバイルアプリケーションの「デジタル身分証明書」のような役割を果たします。ユーザーがログイン後に発行されるトークンを使って、APIアクセス時に身元を証明します。これにより、毎回ユーザー名とパスワードを送信する必要がなく、安全で効率的な認証が可能になります。

API Gateway Authorizerとモバイルアプリの関わり

API Gateway Authorizer「認証ゲート」は、モバイルアプリケーションの「セキュリティゲート」のような役割を果たします。APIへのリクエストごとにJWTトークンを検証し、有効なユーザーのみがAPIにアクセスできるようにします。これにより、不正なアクセスを防止し、ユーザーデータを保護できます。

実際の手順

実際の手順では、たくさんの設定値を入力することになります。 本文中に設定値が指定されていない場合は、デフォルト値のまま作業を進めてください。

1. Amazon Cognito User Poolの作成

ユーザー登録・ログイン機能を提供するUser Poolを作成します。

1-1.Cognito User Pool Clientの作成

1. AWSマネジメントコンソールでCognitoサービスを開きます
2. 左側メニューで「ユーザープール」を選択します
3. 「ユーザープールを作成」をクリックします
4. アプリケーションタイプで「モバイルアプリ」を選択する
5. アプリケーションに名前を付けるで「mobile-app-client」と入力します
6. サインイン識別子オプションで「メールアドレス」にチェックを入れます
7. 自己登録で「自己登録を有効化」にチェックを入れます
8. サインアップのための必須属性は選択しません
9. 「ユーザーディレクトリを作成する」をクリックします

1-2.Cognito User Pool Client認証フローの変更

1. 左側メニューで「ユーザープール」を選択します
2. 作成されたユーザープールをクリックします
3. 左側メニューで「アプリケーションクライアント」を選択します
4. 「mobile-app-client」をクリックします
5. アプリケーションクライアントに関する情報の「編集」をクリックします
6. 認証フローで以下を選択します：
   • ALLOW_USER_AUTH
   • ALLOW_USER_PASSWORD_AUTH
   • ALLOW_USER_SRP_AUTH
   • ALLOW_REFRESH_TOKEN_AUTH
7. 「変更を保存」をクリックします
8. アプリケーションクライアントに関する情報のクライアントIDをメモしておきます

1-3. User Poolの確認と編集

1. 左側メニューで「ユーザープール」を選択します
2. 作成されたユーザープールをクリックします
3. 「名前変更」をクリックします
4. User Pool名に「mobile-app-user-pool」と入力します
5. 「変更を保存」をクリックします
6. ユーザープール情報のユーザープールIDをメモしておきます

1-4. セキュリティ要件の設定

1. 左側メニューで「認証方法」を選択します
2. SMSの「編集」をクリックします
3. 「新しいIAMロールを作成」をクリックします
4. IAMロール名に「cognito-sms」と入力します
5. 「変更を保存」をクリックします
6. 左側メニューで「サインイン」を選択します
7. 多要素認証（MFA）で「オプションのMFA」を選択します
8. 「変更を保存」をクリックします

2. API GatewayでのCognito認証統合

ステップ1で作成したAPI GatewayにCognito認証を統合します。

2-1. API GatewayのオーソライザーにCognitoを指定

1. API Gatewayのコンソールで「mobile-app-api」を開きます
2. 左側メニューで「オーソライザー」を選択します
3. 「オーソライザーを作成」をクリックします
4. 名前に「cognito-authorizer」と入力します
5. タイプで「Cognito」を選択します
6. Cognitoユーザープールで作成した「mobile-app-user-pool」を選択します
7. トークンソースに「Authorization」と入力します
8. 「オーソライザーを作成」をクリックします

2-2. APIメソッドへの認証適用

1. 「リソース」メニューで「/health」のGETメソッドを選択します
2. 「メソッドリクエスト」タブの「編集」をクリックします
3. 認可で「cognito-authorizer」を選択します
4. 「保存」をクリックします
5. API Gatewayのコンソールで「APIをデプロイ」を選択します
6. デプロイステージで「新しいステージ」を選択し、ステージ名に「dev」と入力します
7. 「デプロイ」をクリックします
8. 作成完了後、URLをメモしておきます

3. Lambda関数での認証情報処理

Lambda関数でCognitoから送信される認証情報を処理するように更新します。

3-1. Lambda関数の更新

1. Lambdaコンソールで「mobile-app-handler」関数を開きます
2. 以下のPythonコードに更新します：

import json
import logging
 
# ログ設定
logger = logging.getLogger()
logger.setLevel(logging.INFO)
 
def lambda_handler(event, context):
    """
    認証されたモバイルアプリからのAPIリクエストを処理する関数
    """
    try:
        # リクエスト情報をログに記録
        logger.info(f"受信したイベント: {json.dumps(event)}")
 
        # 認証情報を取得
        request_context = event.get('requestContext', {})
        authorizer = request_context.get('authorizer', {})
 
        # Cognitoから送信されるユーザー情報
        claims = authorizer.get('claims', {})
        user_id = claims.get('sub', 'unknown')
        email = claims.get('email', 'unknown')
        username = claims.get('cognito:username', 'unknown')
 
        # HTTPメソッドとパスを取得
        http_method = event.get('httpMethod', 'GET')
        path = event.get('path', '/')
 
        # パスに応じた処理の分岐
        if path == '/health' and http_method == 'GET':
            # ヘルスチェック用のレスポンス
            response_data = {
                'message': '認証されたユーザーからのリクエストを受信しました',
                'user_info': {
                    'user_id': user_id,
                    'email': email,
                    'username': username
                },
                'request_info': {
                    'method': http_method,
                    'path': path
                },
                'timestamp': context.aws_request_id
            }
 
            logger.info(f"認証ユーザー: {username} ({email})")
 
            # 成功レスポンス
            return {
                'statusCode': 200,
                'headers': {
                    'Content-Type': 'application/json',
                    'Access-Control-Allow-Origin': '*',
                    'Access-Control-Allow-Methods': 'GET,POST,PUT,DELETE,OPTIONS',
                    'Access-Control-Allow-Headers': 'Content-Type,X-Amz-Date,Authorization,X-Api-Key,X-Amz-Security-Token'
                },
                'body': json.dumps(response_data, ensure_ascii=False)
            }
        else:
            # 未対応のエンドポイント
            return {
                'statusCode': 404,
                'headers': {
                    'Content-Type': 'application/json',
                    'Access-Control-Allow-Origin': '*'
                },
                'body': json.dumps({
                    'error': 'エンドポイントが見つかりません',
                    'path': path
                }, ensure_ascii=False)
            }
 
    except Exception as e:
        # エラーログを記録
        logger.error(f"エラーが発生しました: {str(e)}")
 
        # エラーレスポンス
        return {
            'statusCode': 500,
            'headers': {
                'Content-Type': 'application/json',
                'Access-Control-Allow-Origin': '*'
            },
            'body': json.dumps({
                'error': 'サーバー内部エラーが発生しました',
                'message': str(e)
            }, ensure_ascii=False)
        }

3. 「Deploy」ボタンをクリックしてコードをデプロイします

4. 認証機能の動作確認

構築した認証システムが正しく動作することを、curlコマンドとAWS CLIで確認します。

4-1. ユーザー登録のテスト（AWS CLI使用）

AWS CLIを使用して、テストユーザーを作成します：

# User Pool IDを環境変数に設定
export USER_POOL_ID="us-east-1_xxxxxxxxx"
export CLIENT_ID="xxxxxxxxxxxxxxxx"
 
# テストユーザーの作成
aws cognito-idp sign-up \
  --client-id ${CLIENT_ID} \
  --username testuser@example.com \
  --password Test1234! \
  --user-attributes Name=email,Value=testuser@example.com \
  --region us-east-1

期待されるレスポンス：

{
    "UserConfirmed": false,
    "CodeDeliveryDetails": {
        "Destination": "t***@e***",
        "DeliveryMedium": "EMAIL",
        "AttributeName": "email"
    },
    "UserSub": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

4-2. メール確認コードの取得とユーザー確認

管理者権限でユーザーを確認済みにします（開発環境のみ）：

# ユーザーを確認済みに設定
aws cognito-idp admin-confirm-sign-up \
  --user-pool-id ${USER_POOL_ID} \
  --username testuser@example.com \
  --region us-east-1

aws cognito-idp confirm-sign-up \
  --client-id ${CLIENT_ID} \
  --username testuser@example.com \
  --confirmation-code 123456 \
  --region us-east-1

4-3. ログインしてJWTトークンを取得

# ログイン（認証）
aws cognito-idp initiate-auth \
  --client-id ${CLIENT_ID} \
  --auth-flow USER_PASSWORD_AUTH \
  --auth-parameters USERNAME=testuser@example.com,PASSWORD=Test1234! \
  --region us-east-1

期待されるレスポンス：

{
    "AuthenticationResult": {
        "AccessToken": "eyJra...(長いトークン文字列)",
        "ExpiresIn": 3600,
        "TokenType": "Bearer",
        "RefreshToken": "eyJjd...(長いトークン文字列)",
        "IdToken": "eyJra...(長いトークン文字列)"
    }
}

IdTokenの値をコピーしてください（次のステップで使用します）。

4-4. 認証が必要なAPIエンドポイントのテスト

① 認証なしでアクセス（失敗するはず）

# APIのURLを環境変数に設定
export API_URL="https://xxxxxxxxxx.execute-api.us-east-1.amazonaws.com/dev"
 
# 認証なしでリクエスト
curl -X GET "${API_URL}/health" \
  -H "Content-Type: application/json"

期待されるレスポンス：

{
  "message": "Unauthorized"
}

ステータスコード：401 Unauthorized

② JWTトークンを使って認証付きアクセス（成功するはず）

# 取得したIDトークンを環境変数に設定
export ID_TOKEN=$(aws cognito-idp initiate-auth \
  --client-id ${CLIENT_ID} \
  --auth-flow USER_PASSWORD_AUTH \
  --auth-parameters USERNAME=testuser@example.com,PASSWORD=Test1234! \
  --region us-east-1 \
  --output json | jq -r '.AuthenticationResult.IdToken')
 
# 認証付きでリクエスト
curl -X GET "${API_URL}/health" \
  -H "Content-Type: application/json" \
  -H "Authorization: Bearer ${ID_TOKEN}"

期待されるレスポンス：

{
  "message": "認証されたユーザーからのリクエストを受信しました",
  "user_info": {
    "user_id": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx",
    "email": "testuser@example.com",
    "username": "testuser@example.com"
  },
  "request_info": {
    "method": "GET",
    "path": "/health"
  },
  "timestamp": "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
}

ステータスコード：200 OK

4-5. CloudWatch Logsでの認証ログ確認

Lambda Authorizerの実行ログを確認します：

1. AWSマネジメントコンソールでCloudWatchサービスを開きます
2. 「ログ」→「ロググループ」を選択します
3. /aws/lambda/mobile-app-handlerを開きます
4. 最新のログストリームを確認します

成功時のログ例：

START RequestId: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
[INFO] 受信したイベント: {"xxx...}
[INFO] 認証ユーザー: testuser@example.com (testuser@example.com)
END RequestId: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

失敗時のログ例：

START RequestId: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
[ERROR] トークン検証失敗: Invalid token
[INFO] ポリシー生成: Deny
END RequestId: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

4-6. トラブルシューティング

エラー: “USER_PASSWORD_AUTH flow not enabled”

原因：App ClientでUSER_PASSWORD_AUTHフローが有効化されていない

対処法：

1. Cognitoコンソールで対象のApp Clientを選択
2. 「認証フロー」設定でALLOW_USER_PASSWORD_AUTHを有効化
3. 変更を保存

エラー: “User is not confirmed”

原因：ユーザーのメール確認が完了していない

対処法：

aws cognito-idp admin-confirm-sign-up \
  --user-pool-id ${USER_POOL_ID} \
  --username testuser \
  --region us-east-1

エラー: “Unauthorized” （トークン付きでも失敗）

原因：API GatewayのAuthorizerが正しく設定されていない、またはトークンが無効

対処法：

1. API GatewayのAuthorizerテスト機能でトークンを検証
2. Authorizerの設定（Token Source、User Pool等）を確認
3. トークンの有効期限（通常1時間）を確認し、期限切れの場合は再ログイン

エラー: “InvalidParameterException: Missing required parameter USERNAME”

原因：リクエストボディのパラメータ名が間違っている

対処法：

• パラメータ名は大文字小文字を区別します
• USERNAME、PASSWORD、CLIENT_IDなど、正確な名前を使用してください

このステップで何をしたのか

このステップでは、モバイルアプリケーション向けの包括的な認証システムを構築しました。具体的には、Amazon CognitoでUser Poolを作成し、ユーザー登録・ログイン機能を実装しました。また、API GatewayにCognito Authorizerを統合し、JWTトークンによる認証機能を追加しました。さらに、Lambda関数でユーザー認証情報を処理できるように更新しました。

モバイルアプリでどのような影響があるのか

この構成により、モバイルアプリは企業レベルのセキュアな認証システムを利用できるようになります。ユーザーはメールアドレスとパスワードで安全にアカウントを作成し、JWTトークンを使って各種APIにアクセスできます。多要素認証やパスワードポリシーにより、セキュリティリスクが大幅に軽減されます。これは、銀行のような高セキュリティが求められる金融機関の「本人確認システム」に相当します。

技術比較まとめ表

学習において重要な技術的違い

1. 認証システムの管理

• AWS：Cognitoによる完全マネージド認証システム
• オンプレミス：独自の認証システム構築・運用が必要

2. セキュリティ機能

• AWS：MFA、パスワードポリシー、アカウントロックアウト機能が標準装備
• オンプレミス：すべてのセキュリティ機能を独自実装する必要

3. スケーラビリティ

• AWS：ユーザー数の増加に自動対応
• オンプレミス：認証サーバーのキャパシティプランニングが必要

4. 統合の容易さ

• AWS：API Gatewayとのネイティブ統合
• オンプレミス：各サービス間の認証連携を個別に実装

実践チェック：画面キャプチャで証明しよう

下記のチェック項目について、実際にAWSマネジメントコンソールで設定ができていることを確認し、各項目ごとに該当画面のスクリーンショットを撮影して提出してください。

• Cognito User Pool「mobile-app-user-pool」が作成されていること

• User Pool Clientが正しく設定されていること

• パスワードポリシーとMFA設定が適用されていること

• API GatewayでCognito Authorizerが作成されていること

• /health GETメソッドに認証が適用されていること

• Lambda関数が認証情報を処理できるように更新されていること

提出方法： 各項目ごとにスクリーンショットを撮影し、まとめて提出してください。 ファイル名やコメントで「どの項目か」が分かるようにしてください。

構成図による理解度チェック

ステップ1の構成図に、このステップで作成した認証システムを追記して、現在のインフラ構成を完成させましょう。

なぜ構成図を更新するのか？

認証システムの追加により、システムのセキュリティ境界と認証フローが大きく変わります。モバイルアプリからAPIアクセスまでの認証の流れを視覚的に理解することで、セキュリティ設計の重要性を把握できます。また、JWTトークンの流れやCognito Authorizerの役割を明確にできます。

• 認証フロー: ユーザー登録・ログイン → JWTトークン取得 → API認証の流れ
• セキュリティ境界: 認証が必要な領域と不要な領域の明確化
• トークン管理: JWTトークンの発行・検証・更新プロセス

構成図の書き方

ステップ1で作成した構成図をベースに、以下のリソースを追記してみましょう。

1. Amazon Cognito User Pool: API Gatewayの上部に配置し、認証機能を表現
2. Cognito Authorizer: API Gateway内に認証ゲートとして配置
3. JWTトークン: モバイルアプリとAPI Gateway間の認証トークンフローを表現
4. 認証フロー: ユーザー登録・ログインの流れを別途図示

💡 ヒント: 認証が必要なAPIエンドポイントと不要なエンドポイントを色分けして表現すると、セキュリティ設計が分かりやすくなります

理解度チェック：なぜ？を考えてみよう

AWSの各リソースや設計には、必ず”理由”や”目的”があります。 下記の「なぜ？」という問いに自分なりの言葉で答えてみましょう。 仕組みや設計意図を自分で説明できることが、真の理解につながります。 ぜひ、単なる暗記ではなく「なぜそうなっているのか？」を意識して考えてみてください。

Q. なぜモバイルアプリでJWTトークンを使用するのか？セッションベースの認証と比較してどのようなメリットがあるか？

Q. なぜCognitoでメール認証を有効にするのか？メール認証がない場合、どのようなセキュリティリスクが発生するか？

Q. なぜAPI GatewayレベルでCognito認証を統合するのか？Lambda関数内で認証処理を行う場合と比較してどのような違いがあるか？

今回のステップで利用したAWSサービス名一覧

• Amazon Cognito：ユーザー認証・認可を提供するマネージドサービス
• Amazon API Gateway：RESTful APIの作成・管理・認証統合を行うサービス
• AWS Lambda：認証されたユーザー情報を処理するサーバーレスコンピューティング
• AWS IAM：CognitoとAPI Gateway間のアクセス権限を管理するサービス
• Amazon CloudWatch：認証ログの監視・分析を行う監視サービス