Amazon Cognito ユーザープールでセッション管理機能が提供開始 - SSO/トークンセッションの可視化と制御が可能に

Amazon Cognito ユーザープールにおいて、ユーザーのセッション管理機能が追加されました。これにより、ユーザーがアプリケーションにサインインした際に確立されるセッションの可視化と制御が可能になります。セッションには「SSO セッション」と「トークンセッション」の2種類があり、管理者は管理コンソール、API、CLI、SDK、CloudFormation を通 통해、すべてのデバイスやアプリクライアントを横断してアクティブなセッションを一覧表示し、必要に応じて個別に、あるいはユーザーに関連付けられたすべてのセッションを終了（グローバルサインアウト）することが可能です。また、SSO セッションの再認証までの有効期間をカスタマイズ可能になり、ユーザーあたりの最大アクティブ・トークンセッション数の制限も設定できます。本機能は、Amazon Cognito の Essentials または Plus プランを利用しているユーザープールで利用可能です。

🛠️ セッション管理の柔軟性が大幅に向上

これまで Amazon Cognito を利用した認証基盤において、「ユーザーがどこで、どのデバイスでログインしているか」を把握し、制御することは非常に困難でした。特に、デバイス紛失時や不正アクセスの疑いがある場合、特定のセッションのみを無効化する、あるいは全セッションを強制終了させる（グローバルサインアウト）といった運用が求められますが、その制御手段が限られていました。

今回のアップデートにより、以下の課題が解決されます：

1. セキュリティ強化: 特定のデバイスやアプリクライアントからのセッションを個別に無効化できるため、「不審な場所やデバイスからのアクセス」を検知した際の即時対応が容易になります。
2. UX とセキュリティのバランス: SSO セッションの有効期間を、従来の固定1時間から、アプリクライアントごとにカスタマイズ可能になったことで、「頻繁な再認証による利便性低下」と「セキュリティ要件」のバランスを最適化できます。
3. セッション数の制限: ユーザーあたりの最大アクティブ・トークンセッション数を設定できることで、「大量のセッションを保持する攻撃」への対策としても有効です。

🇯🇵 日本国内リージョンでの利用状況

最新のリージョン状況を確認したところ、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) において、本機能は利用可能です。Amazon Cognito が提供されているすべてのリージョンで利用可能です。

💡 実務上のアドバイスと次のステップ

• 運用設計の検討: セキュリティ要件に応じて、SSO セッションの有効期間や、セッション数の上限設定を検討してください。特に、金融系や機密情報を扱うアプリケーションでは、セッションの管理方法を公式ドキュメントに基づいて再設計することが推奨されます。
• セキュリティ監査への対応: セッション情報の詳細（デバイスタイプ、最終アクティビティ、場所など）を利用して、管理画面やエンドユーザー向けの「ログイン中のデバイス一覧」といった機能を自社アプリに実装することが可能です。これらを利用して、「身に覚えのないログイン」を検知した際のエンドユーザー自身によるセッション解除を機能を実装する際の強力な武器になります。
• まず確認すべきこと: まずは、既存のユーザープール（Essentials または Plus プラン） {@link https://docs.aws.amazon.com/cognito/latest/developerguide/managing-user-sessions.html} を使用して、管理コンソールまたは API を通じてセッション一覧の表示と、Revoke（無効化）api をを使用して、動作を確認することをお勧めします。

参照ドキュメント: Amazon Cognito Developer Guide (Managing User Sessions) https://docs.aws.amazon.com/cognito/latest/developerguide/managing-user-sessions.html