(Cognito)OpenID JSON Web Key (JWK) の自動ローテーション対応について

0

AWSより2022 年12月15 日より、OpenID トークン署名キーの自動ローテーションを開始するので、2022年12月15日までに対応するようにとのメールを頂きました。 これは、(参考URL)にある「拡張認証フロー」を実装すれば対応済みと考えてよろしいのでしょうか。

(参考URL) https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/authentication-flow.html

已提问 1 年前543 查看次数
3 回答
1
已接受的回答

「拡張認証フロー」を実装すれば対応済みと考えて問題ないです。 理由を記載します。

今回ローテーションの対象となっている「署名キー」というのは基本 (Classic) 認証フローの中でGetOpenIdTokenを使用した際に得られる「OpenIdToken」が正当なものであるかを検証するために使用するものです。この署名キーはJWKS URIというURIを含むURLから取得されます。 基本 (Classic) 認証フローの場合は、ここで取得した「署名キー」を使って「OpenIdToken」を検証する処理(プログラム)を自分で実装する場合があります。この部分の実装で例えば、「署名キー」がローテーションされないことを前提としてハードコーディングしている場合などに今回の変更の影響を受ける形となります。

対して、拡張 (簡略化) 認証フローの場合は、GetCredentialsForIdentityというリクエストがGetOpenIdTokenを含む処理を行うため、「OpenIdToken」を検証する処理を実装する必要はない認識です。そのため拡張 (簡略化) 認証フローであれば問題ないと言うことができます。

profile picture
Kikuchi
已回答 1 年前
1

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

ご認識の通りです。よろしくお願いします。

profile picture
Kikuchi
已回答 1 年前
0

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

已回答 1 年前

您未登录。 登录 发布回答。

一个好的回答可以清楚地解答问题和提供建设性反馈,并能促进提问者的职业发展。

回答问题的准则