リダイレクトエンドポイントと認可エンドポイント

/oauth2/authorize エンドポイントは、2 つのリダイレクト先をサポートするリダイレクトエンドポイントです。URL に identity_provider または idp_identifier のパラメータを含めると、ユーザーはその ID プロバイダー (IdP) のサインインページにそのままリダイレクトされます。それ以外の場合は、リクエストに含まれるものと同じ URL パラメータを持つ ログインエンドポイント にリダイレクトされます。

認可エンドポイントは、ホストされている UI または IdP サインインページのどちらかにリダイレクトされます。このエンドポイントにおけるユーザーセッションの送信先は、ユーザーがブラウザで直接操作する必要があるウェブページです。

認可エンドポイントを使用するには、ユーザープールに以下のユーザープールの詳細に関する情報を提供するパラメータを使用して、ユーザーのブラウザを /oauth2/authorize で呼び出します。

また、Amazon Cognito が受信クレームの検証に使用する state および nonce パラメータを提供することもできます。

GET /oauth2/authorize

/oauth2/authorize エンドポイントは HTTPS GET のみをサポートします。アプリは通常、このリクエストをユーザーのブラウザで開始します。/oauth2/authorize エンドポイントへのリクエストは、HTTPS でのみ行うことができます。

OpenID Connect (OIDC) 標準における認可エンドポイントの定義の詳細については、「Authorization Endpoint」(認可エンドポイント) を参照してください。

リクエストパラメータ

肯定応答を含むリクエストの例

次の例は、/oauth2/authorize エンドポイントへの HTTP リクエストの形式を示しています。

認可コード付与

これは、認可コード付与のリクエストの例です。

例 - GET リクエスト

次のリクエストは、ユーザーが redirect_uri 送信先でアプリケーションに渡す認可コードを取得するセッションを開始します。このセッションでは、ユーザー属性用スコープと、Amazon Cognito セルフサービス API オペレーションへのアクセス用スコープをリクエストします。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=openid+profile+aws.cognito.signin.user.admin

例 – 応答

Amazon Cognito 認証サーバーは、認可コードとステートを伴ってリダイレクトしアプリに戻ります。認可コードは 5 分間有効です。

HTTP/1.1 302 Found
Location: https://www.example.com?code=a1b2c3d4-5678-90ab-cdef-EXAMPLE11111&state=abcdefg

PKCE を使用した認可コード付与

これは、PKCE を使った認可コード付与のリクエストの例です。

例 - GET リクエスト

次のリクエストは、前のリクエストに code_challenge パラメータを追加します。トークンのコード交換を完了するには、/oauth2/token エンドポイントへのリクエストに code_verifier パラメータを含める必要があります。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=code&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=aws.cognito.signin.user.admin&
code_challenge_method=S256&
code_challenge=a1b2c3d4...

例 – 応答

認可サーバーは認可コードとステート伴ってリダイレクトしアプリケーションに戻ります。コードとステートはフラグメントではなく、クエリ文字列パラメータで返される必要があります。

HTTP/1.1 302 Found
Location: https://www.example.com?code=a1b2c3d4-5678-90ab-cdef-EXAMPLE11111&state=abcdefg

openid スコープを使用しないトークン付与

これは、暗黙的な付与を生成し、JWT をユーザーのセッションに直接返すリクエストの例です。

例 - GET リクエスト

次のリクエストは、認可サーバーからの暗黙的な付与を求めるものです。Amazon Cognito からのアクセストークンは、セルフサービス API オペレーションを認可します。

GET https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize?
response_type=token&
client_id=1example23456789&
redirect_uri=https://www.example.com&
state=abcdefg&
scope=aws.cognito.signin.user.admin

例 – 応答

Amazon Cognito 認可サーバーはアクセストークンを伴ってリダイレクトし、アプリに戻ります。openid スコープがリクエストされなかったため、Amazon Cognito は ID トークンを返しません。また、Amazon Cognito はこのフローで更新トークンを返しません。Amazon Cognito はアクセストークンとステートをクエリ文字列ではなくフラグメントで返します。

HTTP/1.1 302 Found
Location: https://YOUR_APP/redirect_uri#access_token=ACCESS_TOKEN&token_type=bearer&expires_in=3600&state=STATE

openid スコープを使用したトークン付与

これは、暗黙的な付与を生成し、JWT をユーザーのセッションに直接返すリクエストの例です。

例 - GET リクエスト

次のリクエストは、認可サーバーからの暗黙的な付与を求めるものです。Amazon Cognito からのアクセストークンは、ユーザー属性とセルフサービス API オペレーションへのアクセスを認可します。

GET
https://mydomain.auth.us-east-1.amazoncognito.com/oauth2/authorize? 
response_type=token& 
client_id=1example23456789& 
redirect_uri=https://www.example.com& 
state=abcdefg&
scope=aws.cognito.signin.user.admin+openid+profile
                    

例 – 応答

認可サーバーはアクセストークンと ID トークンを伴ってリダイレクトしアプリケーションに戻ります (openid スコープが含まれていたため)。

HTTP/1.1 302 Found
Location: https://www.example.com#id_token=eyJra67890EXAMPLE&access_token=eyJra12345EXAMPLE&token_type=bearer&expires_in=3600&state=abcdefg

否定応答の例

Amazon Cognito はリクエストを拒否する場合があります。否定リクエストには、HTTP エラーコードと、リクエストパラメータの修正に使用できる説明が付属しています。否定応答の例を次に示します。