Amazon Cognitoにドメイン不要のM2M認可機能が追加

Amazon Cognitoに新たにGetClientToken APIが追加され、アプリクライアントがユーザープールドメインを構成せずに、AWS SDK、CLI、またはAPIを通じて直接、機械間（M2M）認可用のアクセストークンを取得できるようになった。クライアントIDとシークレットを使用して認証し、リソースサーバー向けのカスタムスコープを含むアクセストークンを取得可能。既存のドメインベースOAuth 2.0クライアントクレデンシャルフローとの互換性も維持される。

解決する課題

これまでAmazon CognitoでM2M認可を利用する場合、ユーザープールドメインの構成が必須だった。 GetClientToken APIにより、ドメインを経由せずにネイティブなAWS API操作としてトークンを取得できるため、サービス間通信の認可フローが簡素化される。

リージョン状況（日本向け）

最新のリージョン状況によると、Amazon Cognitoユーザープールが利用可能なすべてのリージョンで本機能が利用可能。 東京（ap-northeast-1）および大阪（ap-northeast-3）でも、Cognitoユーザープールの利用可能性を継承し、本機能が利用できることを確認済み。

実務上の注意点

• セキュリティ: クライアントシークレットの管理は厳重に行うこと。IAMロールやSecrets Managerとの統合を検討する。
• コスト: 通常のCognito M2M料金が適用されるため、トークン発行頻度やスコープ設定に応じたコスト見積りが必要。
• 互換性: 既存のOAuth 2.0フローと並行して利用可能なため、段階的な移行が可能。
• ネットワーク: AWS PrivateLink（VPCエンドポイント）に対応しており、プライベートネットワーク内でのトークン取得が可能。

次のアクション

1. テスト: 既存のM2M認可フローとの動作確認を優先的に実施。
2. 設定: アプリクライアントのクライアントID/シークレットを用意し、GetClientToken APIを呼び出す。
3. 検証: トークンのスコープとリソースサーバーのアクセス権限を確認。

参考ドキュメント

• Amazon Cognito 開発者ガイド（GetClientToken）
• GetClientToken APIリファレンス
• Amazon Cognito 料金