Amazon Cognito が OAuth 2.0 Token Exchange (RFC 8693) をサポート

Amazon Cognito は、OAuth 2.0 token exchange (RFC 8693) のサポートを開始しました。これにより、仲介サービスや AI エージェントが、ユーザーのトークンを特定のダウンストリームサービス向けに、スコープを絞った新しいトークンと交換可能になります。トークン交換は、標準の OAuth 2.0 トークンエンドポイント、または新しい GetDerivedToken API を通じて行えます。本機能は、Amazon Cognito の Essentials および Plus フィーチャープランで利用可能です。

🛠️ エンジニア視点の考察

💡 解決される課題とメリット

以前は、ユーザーに代わって他のサービスを呼び出す際、「広範な権限を持つ元のトークンをそのまま転送する」か、「独自のトークン発行ロジックを構築・維持する」という、セキュリティ上のリスクや運用負荷の高い選択肢しかありませんでした。今回のアップデートにより、最小権限の原則 (Principle of Least Privilege) を遵守した、セキュアで標準化されたトークン管理が可能になります。

🌏 日本国内リージョンでの利用状況

最新のリサーチ結果によると、東京 (ap-northeast-1) および 大阪 (ap-northeast-3) リージョンにおいて、本機能は利用可能です。Amazon Cognito が利用可能なすべてのリージョンで提供されます。

🚀 実務上のアドバイス

特に AI エージェント（Model Context Protocol: MCP サーバーなど）を介したバックエンド API へのアクセス制御において、非常に強力な武器になります。トークン交換によって発行される新しいトークンは、**「スコープを絞る」「オーディエンスを限定する」「リフレッシュトークンを含めない」**といった制御が可能です。これにより、万が一のトークン漏洩時にも、被害範囲を最小限に抑えることができます。

🔍 次のアクション

1. 既存のマイクロサービス間連携の認証フローを再確認する: 現在、トークンをそのまま転送している箇所があれば、トークン交換への移行を検討してください。
2. 作用素 (act) クレームの活用: ダウンストリームサービス側で act クレームを検証し、「ユーザーによる直接リクエスト」と「エージェントによる代理リクエスト」を判別するロジックを実装することを推奨します。

参照ドキュメント: Amazon Cognito Developer Guide: exchanging tokens for downstream services