Amazon CognitoがTOTP MFA設定リセット用の管理者APIを追加

Amazon Cognitoに、ユーザーのTOTP（Time-based One-Time Password）による多要素認証（MFA）設定をリセットする新しい管理者用API操作 AdminDeleteSoftwareToken が追加されました。このAPIにより、TOTPデバイスへのアクセスを失ったユーザーのデバイス関連付けを管理者が削除でき、ユーザーは次回サインイン時に新しいデバイスを再登録可能になります。アカウントの再作成なしでMFA強制を維持しつつ、ユーザー復旧の手段を提供します。本機能はAmazon Cognitoが利用可能なすべてのAWSリージョンで提供されています。

エンジニア視点での考察・アドバイス

解決された技術的課題

• TOTPデバイス紛失時の運用負荷: 従来はTOTPデバイスを紛失したユーザーの復旧にアカウント再作成が必要で、運用コストやセキュリティリスク（例: 一時的なMFA無効化）が課題でした。
• MFA強制とユーザビリティの両立: 本APIにより、MFA強制ポリシーを維持しつつ、ユーザー自身での復旧を可能にします。

日本のリージョン状況（東京・大阪）

• 東京リージョン (ap-northeast-1): Amazon Cognito自体が提供されており、本APIも利用可能です。
• 大阪リージョン (ap-northeast-3): AWS公式発表では「Amazon Cognitoが利用可能なすべてのリージョン」と明記されており、大阪リージョンでも利用可能と判断できます。 ※ 補助検索ではAPI単位のカタログ確認が困難でしたが、一次情報（AWS公式RSS）を優先します。

実務での影響と注意点

• セキュリティポリシーの更新: 本APIを利用する際は、管理者権限の最小化（IAMポリシーの厳格化）と監査ログ（AWS CloudTrail）の有効化を推奨します。
• ユーザー教育: TOTPデバイス紛失時の復旧手順をユーザーに周知し、サポート窓口の負荷軽減を図りましょう。
• コスト: API呼び出し自体に追加料金は発生しませんが、CloudTrailログの保存コストには注意が必要です。

次のアクション

1. IAMポリシーの見直し: AdminDeleteSoftwareToken APIを実行できる管理者ロールを限定し、必要最小限の権限を付与します。
2. テスト環境での検証: 実際のユーザープールで本APIをテストし、復旧フローが期待通り動作するか確認します。
3. ドキュメントの整備: 社内向けに本APIの利用手順をまとめ、サポートチームと共有します。

参考ドキュメント

• AdminDeleteSoftwareToken API Reference
• Developer Guide (MFA TOTP removal)