AWS re:Postを使用することにより、以下に同意したことになります 利用規約

(Cognito)OpenID JSON Web Key (JWK) の自動ローテーション対応について

0

AWSより2022 年12月15 日より、OpenID トークン署名キーの自動ローテーションを開始するので、2022年12月15日までに対応するようにとのメールを頂きました。 これは、(参考URL)にある「拡張認証フロー」を実装すれば対応済みと考えてよろしいのでしょうか。

(参考URL) https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/authentication-flow.html

質問済み 19日前69ビュー
3回答
1
承認された回答

「拡張認証フロー」を実装すれば対応済みと考えて問題ないです。 理由を記載します。

今回ローテーションの対象となっている「署名キー」というのは基本 (Classic) 認証フローの中でGetOpenIdTokenを使用した際に得られる「OpenIdToken」が正当なものであるかを検証するために使用するものです。この署名キーはJWKS URIというURIを含むURLから取得されます。 基本 (Classic) 認証フローの場合は、ここで取得した「署名キー」を使って「OpenIdToken」を検証する処理(プログラム)を自分で実装する場合があります。この部分の実装で例えば、「署名キー」がローテーションされないことを前提としてハードコーディングしている場合などに今回の変更の影響を受ける形となります。

対して、拡張 (簡略化) 認証フローの場合は、GetCredentialsForIdentityというリクエストがGetOpenIdTokenを含む処理を行うため、「OpenIdToken」を検証する処理を実装する必要はない認識です。そのため拡張 (簡略化) 認証フローであれば問題ないと言うことができます。

profile picture
Kikuchi
回答済み 19日前
1

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

ご認識の通りです。よろしくお願いします。

profile picture
Kikuchi
回答済み 18日前
0

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

回答済み 18日前

ログインしていません。 ログイン 回答を投稿する。

優れた回答とは、質問に明確に答え、建設的なフィードバックを提供し、質問者の専門分野におけるスキルの向上を促すものです。

質問に答えるためのガイドライン