COLUMN

1.Amazon Cognitoとは？

Amazon Cognito（アマゾン コグニート）とは、モバイルアプリやWebアプリケーションの認証や承認、ユーザー管理・データ同期などができるサービスです。

何億人ものユーザーにスケールできるセキュアなユーザー管理機能を容易に構築でき、GoogleやFacebook、AmazonなどのソーシャルIDを使った認証も提供しています。

Amazon Cognitoでは、多要素認証やアドバンスドセキュリティ機能など、情報セキュリティ対策を強化できる機能が多数あります。そのためAmazon Cognitoを活用すれば、アカウントを安全に管理することができるでしょう。

1-1.AWS Identity and Access Management（IAM）との違い

AWS Identity and Access Management（IAM）とAmazon Cognitoは、どちらも認証や認可ができるサービスです。

大きな違いは、Amazon Cognitoはシステムの認証や認可を行うのに対し、AWS Identity and Access Management（IAM）はAWSリソースに対して認証や認可を行う点です。

またAWS Identity and Access Management（IAM）では、IAMロールを付与したユーザーであればすぐにクエリが実行できます。

一方Amazon Cognitoでは、ログインが必要です。ログインによって付与されたトークンを用いて、クエリを実行します。

どちらも認証や認可ができるサービスではあるものの、対象が異なります。利用用途に合わせた、認証・認可方法を活用するとよいでしょう。

1-2.AWS SSOとの違い

AWS SSOは、一度パスワード認証をすれば複数のサービスにログインできるサービスで、主に企業などの組織内で活用されます。

複数のAWSサービスを利用する場合、毎回違うパスワードを入力するのは手間を感じやすく、情報セキュリティ対策としても適切ではありません。そこでAWS SSOを活用すれば、組織内のアカウント管理を簡単にしてくれるため、安心して運用できます。

一方、Amazon Cognitoは、不特定多数のログインを想定されておりサービスを利用する顧客などのユーザーを対象にしています。そのため、FacebookなどソーシャルIDの認証連携ができるのです。

AWS SSOとAmazon Cognitoの内容は対象者が異なります。誰のアカウントを認証したいのかによって選ぶサービスを決めるとよいでしょう。

【入門編】「クラウド導入を成功させるためのお役立ちマニュアル」はこちらからダウンロード！

2.Amazon Cognitoの機能

Amazon Cognitoには、主に2つの機能が備わっています。

• ユーザープール
• IDプール（アイデンティティプール）

順番に解説します。

2-1.ユーザープール

ユーザープールは、独自のディレクトリを持っており、ユーザー名やパスワードが補完できる機能です。ユーザーディレクトリを用いて、アプリユーザーのサインアップとサインインを提供します。

そのほかGoogleやFacebookなどの外部IDプロバイダと連動しログインすることで、ユーザープールにサインインも可能です。サインインするとAmazon Cognitoからトークンが発行されます。トークンをアプリケーションのAPIに送ることで、認証ができる仕組みです。

そのほかユーザープールでは、情報セキュリティ対策としてアカウントの乗っ取りを保護したり、漏えいした認証情報を調べたりもできます。

2-2.IDプール（アイデンティティプール）

IDプールはアイデンティティプールとも呼ばれ、AWSのほかのサービスに対するアクセスを許可する機能です。

ユーザープールと同様に外部IDプロバイダに対応しており、外部IDプロバイダにログインすることで、AWSにアクセスできます。

基本的にIDプールのみを使用することはなく、ユーザープールと併用する場合がほとんどです。

ユーザープールを介してサインインしたユーザーにトークンを与え、IDプールにてトークンを交換することで、Amazon S3やDynamoDBなど他のAWSサービスにアクセスが可能です。

【入門編】「クラウド導入を成功させるためのお役立ちマニュアル」はこちらからダウンロード！

3.Amazon Cognitoの使い方

本章では、Amazon Cognitoの使い方を紹介します。

ユーザープールとIDプールの作成方法を簡単に解説していますので、参考にしてください。

3-1.ユーザープールの作成

Amazon Cognitoコンソールから、「ユーザープールの作成」をクリックします。サインインはEメールや電話番号、ユーザー名などから選択できますが、Eメールを選択し次に進みましょう。

パスワードポリシーはデフォルトとカスタムがありますが、デフォルトで問題ありません。

多要素認証やユーザーアカウントの復旧の設定画面がでてくるので、適宜選択します。続いて「サインアップエクスペリエンスの設定」では、新規ユーザーのID確認方法などの設定をして「次へ」をクリックします。

Eメール送信方法やユーザープール名、アプリケーションクライアント名を入力後「ユーザープールを作成」を選択すれば、ユーザープールが完成します。

3-2.IDプールの作成

Amazon Cognitoコンソールから「新しいIDプールの作成」をクリックします。IDプール名や認証アクセス、認証フローのアクセスなどを選択後、プールの作成を選択しましょう。

続いて、デフォルトのIAMロールを選択し許可をクリックします。

「IDプロバイダを接続」のボタンをクリックし、IDプロバイダの詳細を入力します。入力が終わったら「プロパティの設定」にIDプール名を入力し、タグを追加するか選択しましょう。

確認および作成をクリック後、間違いがないか確認して「IDプールの作成」をクリックすればIDプールが完成します。

【入門編】「クラウド導入を成功させるためのお役立ちマニュアル」はこちらからダウンロード！

4.Amazon Cognitoの活用例

Amazon Cognitoはあくまでもユーザー認証を管理する仕組みです。モバイルアプリとしてのサービスを実現する処理やデータベースの利用などには、他の仕組みを使います。

ここでは、AWSの他のサービスと連携した活用例を3つ解説します。

4-1.Amazon SNS Mobile Pushとの連携

Amazon Cognitoがユーザーからデータを受け取り、他のAWSサービスと連携した処理を構築できます。たとえば、モバイルアプリでよく使われる機能であるプッシュ通知も「Amazon SNS Mobile Push」と連携すれば可能です。

そのほか、同じデータを参照しているほかのユーザーに、データ更新の通知をするなどの仕組みも構築できるでしょう。

4-2.Amazon Kinesisとの連携

Amazon KinesisとAmazon Cognitoを連携すれば、ユーザーがデータを更新したタイミングでAmazon Kinesisにデータを送れます。

Amazon Kinesisとは、データストリームをリアルタイムで容易に収集、処理、分析できるサービスです。Amazon Kinesisで分析した内容を、AWS Lambdaを活用したアプリケーションに応用できるため、最新の分析内容をアプリケーションに活用できます。

4-3.AWS Lambdaとの連携

入力された空白を削除したり、全角に変換したりするなど、ユーザーが入力したデータをその後の処理で扱いやすいように成形するプログラムにも応用できます。

データ内容を成形・修正するような、一定の処理をAWS Lambdaへ送り変更後のデータを保存するといった利用方法もできるでしょう。

【入門編】「クラウド導入を成功させるためのお役立ちマニュアル」はこちらからダウンロード！

5.Amazon Cognitoの料金体系

Amazon Cognitoでは、ID管理やデータの同期に応じて課金されます。他のAWSサービス同様に初期費用や最低料金などはなく、利用した分だけ支払います。

ユーザープールの料金は、月額アクティブユーザー数（MAU）によって異なります。また高度な情報セキュリティ機能を希望する場合は、追加料金が発生するため注意しましょう。

Amazon Cognitoの料金は、下表の通りです。

※2024年1月現在の料金です。

上表の通り、最初の50,000MAUは無料枠となっているため、料金は発生しません。

詳しい内容は公式ホームページをご確認ください。

Amazon Cognito の料金（AWS公式ページ）

【入門編】「クラウド導入を成功させるためのお役立ちマニュアル」はこちらからダウンロード！

6.AWSの導入・運用ならぜひNTT東日本にご相談ください

Amazon Cognitoを活用すれば、GoogleやFacebookなどの外部IDプロバイダと連動しログインができるため、顧客などのユーザーにとって利便性が高くなります。

一方AWSには、Amazon Cognito以外のアカウント管理機能も多数あり、どのサービスを活用するべきなのか分からなかったり、構築・導入方法が理解できなかったりする方もいるでしょう。

そのようなお悩みをお持ちの方は、NTT東日本にご相談ください。

NTT東日本では、Amazon CognitoはもちろんのことほかのAWSサービスの構築や導入・運用・保守までワンストップで支援いたします。自社にベストな環境構築ができず、悩まれている場合は、AWS有資格者である担当者が中立的な立場でアドバイスが可能です。

150以上の実績を持つNTT東日本に、ささいなことでもお気軽にご相談ください。

Amazon Cognitoについてまとめ

Amazon Cognitoとは、モバイルアプリやWebアプリケーションの認証や承認、ユーザー管理・データ同期などができるサービスです。

不特定多数ユーザーにスケールできるユーザー管理機能のため、顧客などのユーザーアカウントを管理するのに役立ちます。GoogleやFacebook・AmazonなどのソーシャルIDを使った認証も提供しているため、モバイルアプリやWebアプリケーションをより便利に使用できるでしょう。

Amazon Cognitoの導入を検討しているものの、どのような構築をしていけば良いのか悩んでいる方は、ぜひNTT東日本にご相談ください。