認証コードの許可PKCEで を使用する

で認証付与フローを実装するには PKCE

1. Amazon Cognito コンソールを開きます。プロンプトが表示されたら、 AWS 認証情報を入力します。

2. [User Pools] (ユーザープール) を選択します。

3. リストから既存のユーザープールを選択するか、ユーザープールを作成します。ユーザープールを作成すると、ウィザード中にアプリケーションクライアントを設定し、ホストされた UI を設定するように求められます。

   1. 新しいユーザープールを作成する場合は、ガイド付きセットアップ中にアプリケーションクライアントを設定し、ホストされた UI を設定します。

   2. 既存のユーザープールを設定する場合は、ドメインユーザープールのドメインを設定するとパブリックアプリケーションクライアント を追加します。

4. ランダムな英数字文字列、通常はユニバーサルに一意の識別子 (UUID) を生成して、 のコードチャレンジを作成しますPKCE。この文字列は、リクエストで に送信するcode_verifierパラメータの値ですトークンエンドポイント。

5. code_verifier 文字列をSHA256アルゴリズムでハッシュします。ハッシュ操作の結果を base64 にエンコードします。この文字列は、リクエストで に送信するcode_challengeパラメータの値です認可エンドポイント。

   以下のようになります Python サンプルは を生成code_verifierし、 を計算しますcode_challenge。

   #!/usr/bin/env python3
   
   import random
   from base64 import urlsafe_b64encode
   from hashlib import sha256
   from string import ascii_letters
   from string import digits
   
   # use a cryptographically strong random number generator source
   rand = random.SystemRandom()
   
   code_verifier = ''.join(rand.choices(ascii_letters + digits, k=128))
   code_verifier_hash = sha256(code_verifier.encode()).digest()
   code_challenge = urlsafe_b64encode(code_verifier_hash).decode().rstrip('=')
   
   print(f"code challenge: {code_challenge}")
   print(f"code verifier: {code_verifier}")

   以下は、 からの出力例です。Python スクリプト：

   code challenge: Eh0mg-OZv7BAyo-tdv_vYamx1boOYDulDklyXoMDtLg
   code verifier: 9D-aW_iygXrgQcWJd0y0tNVMPSXSChIc2xceDhvYVdGLCBk-JWFTmBNjvKSdOrjTTYazOFbUmrFERrjWx6oKtK2b6z_x4_gHBDlr4K1mRFGyE8yA-05-_v7Dxf3EIYJH

6. で認証コード付与リクエストを使用して、ホストされた UI サインインを完了しますPKCE。の例を次に示しますURL。

   https://mydomain.us-east-1.amazoncognito.com/oauth2/authorize?response_type=code&client_id=1example23456789&redirect_uri=https://www.example.com&code_challenge=Eh0mg-OZv7BAyo-tdv_vYamx1boOYDulDklyXoMDtLg&code_challenge_method=S256

7. 認証を収集codeし、トークンエンドポイントを持つトークンと引き換えます。リクエストの例を次に示します。

   POST /oauth2/token HTTP/1.1
   Host: mydomain.us-east-1.amazoncognito.com
   Content-Type: application/x-www-form-urlencoded
   Content-Length: 296
   
   redirect_uri=https%3A%2F%2Fwww.example.com&
   client_id=1example23456789&
   code=7378f445-c87f-400c-855e-0297d072ff03&
   grant_type=authorization_code&
   code_verifier=9D-aW_iygXrgQcWJd0y0tNVMPSXSChIc2xceDhvYVdGLCBk-JWFTmBNjvKSdOrjTTYazOFbUmrFERrjWx6oKtK2b6z_x4_gHBDlr4K1mRFGyE8yA-05-_v7Dxf3EIYJH

8. レスポンスを確認します。ID、アクセス、更新トークンが含まれます。Amazon Cognito ユーザープールトークンの使用の詳細については、「」を参照してくださいユーザープールJSONウェブトークンについて (JWTs）。