(Cognito)OpenID JSON Web Key (JWK) の自動ローテーション対応について

0

AWSより2022 年12月15 日より、OpenID トークン署名キーの自動ローテーションを開始するので、2022年12月15日までに対応するようにとのメールを頂きました。 これは、(参考URL)にある「拡張認証フロー」を実装すれば対応済みと考えてよろしいのでしょうか。

(参考URL) https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/authentication-flow.html

已提問 1 年前檢視次數 544 次
3 個答案
1
已接受的答案

「拡張認証フロー」を実装すれば対応済みと考えて問題ないです。 理由を記載します。

今回ローテーションの対象となっている「署名キー」というのは基本 (Classic) 認証フローの中でGetOpenIdTokenを使用した際に得られる「OpenIdToken」が正当なものであるかを検証するために使用するものです。この署名キーはJWKS URIというURIを含むURLから取得されます。 基本 (Classic) 認証フローの場合は、ここで取得した「署名キー」を使って「OpenIdToken」を検証する処理(プログラム)を自分で実装する場合があります。この部分の実装で例えば、「署名キー」がローテーションされないことを前提としてハードコーディングしている場合などに今回の変更の影響を受ける形となります。

対して、拡張 (簡略化) 認証フローの場合は、GetCredentialsForIdentityというリクエストがGetOpenIdTokenを含む処理を行うため、「OpenIdToken」を検証する処理を実装する必要はない認識です。そのため拡張 (簡略化) 認証フローであれば問題ないと言うことができます。

profile picture
Kikuchi
已回答 1 年前
1

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

ご認識の通りです。よろしくお願いします。

profile picture
Kikuchi
已回答 1 年前
0

ご回答ありがとうございます。 GetCredentialsForIdentity()で、OpenIdTokenの検証処理を行っているので自身で検証処理を記述する必要がないという事ですね。

已回答 1 年前

您尚未登入。 登入 去張貼答案。

一個好的回答可以清楚地回答問題並提供建設性的意見回饋,同時有助於提問者的專業成長。

回答問題指南