認可コード許可での PKCE の使用

PKCE を使用して認可付与フローを実装するには

1. Amazon Cognito コンソールを開きます。プロンプトが表示されたら、AWS 認証情報を入力します。

2. [User Pools] (ユーザープール) を選択します。

3. リストから既存のユーザープールを選択するか、ユーザープールを作成します。ユーザープールを作成すると、ウィザード中にアプリケーションクライアントを設定し、ホストされた UI を構成するように求められます。

   1. 新しいユーザープールを作成すると、ガイド付きセットアップ中にアプリケーションクライアントを設定し、ホストされた UI を構成します。

   2. 既存のユーザープールを設定する場合で、ドメインとパブリックアプリケーションクライアントがない場合は、これらを追加します。

4. PKCE のコードチャレンジを作成するには、ランダムな英数字文字列、通常は Universally Unique Identifier (UUID) を生成します。この文字列は、リクエストで トークンエンドポイント に送信する code_verifier パラメータの値です。

5. SHA256 アルゴリズムを使用して code_verifier 文字列をハッシュします。ハッシュ操作の結果を base64 にエンコードします。この文字列は、リクエストで 認可エンドポイント に送信する code_challenge パラメータの値です。

   次の Python 例では、code_verifier を生成し、code_challenge を計算します。

   #!/usr/bin/env python3
   
   import random
   from base64 import urlsafe_b64encode
   from hashlib import sha256
   from string import ascii_letters
   from string import digits
   
   # use a cryptographically strong random number generator source
   rand = random.SystemRandom()
   
   code_verifier = ''.join(rand.choices(ascii_letters + digits, k=128))
   code_verifier_hash = sha256(code_verifier.encode()).digest()
   code_challenge = urlsafe_b64encode(code_verifier_hash).decode().rstrip('=')
   
   print(f"code challenge: {code_challenge}")
   print(f"code verifier: {code_verifier}")

   Python スクリプトからの出力例を次に示します。

   code challenge: Eh0mg-OZv7BAyo-tdv_vYamx1boOYDulDklyXoMDtLg
   code verifier: 9D-aW_iygXrgQcWJd0y0tNVMPSXSChIc2xceDhvYVdGLCBk-JWFTmBNjvKSdOrjTTYazOFbUmrFERrjWx6oKtK2b6z_x4_gHBDlr4K1mRFGyE8yA-05-_v7Dxf3EIYJH

6. PKCE を使用した認可コード付与リクエストで、ホストされた UI サインインを完了します。URL の例を次に示します。

   https://mydomain.us-east-1.amazoncognito.com/oauth2/authorize?response_type=code&client_id=1example23456789&redirect_uri=https://www.example.com&code_challenge=Eh0mg-OZv7BAyo-tdv_vYamx1boOYDulDklyXoMDtLg&code_challenge_method=S256

7. 認可 code を収集し、トークンエンドポイントを持つトークンと引き換えます。リクエストの例を次に示します。

   POST /oauth2/token HTTP/1.1
   Host: mydomain.us-east-1.amazoncognito.com
   Content-Type: application/x-www-form-urlencoded
   Content-Length: 296
   
   redirect_uri=https%3A%2F%2Fwww.example.com&
   client_id=1example23456789&
   code=7378f445-c87f-400c-855e-0297d072ff03&
   grant_type=authorization_code&
   code_verifier=9D-aW_iygXrgQcWJd0y0tNVMPSXSChIc2xceDhvYVdGLCBk-JWFTmBNjvKSdOrjTTYazOFbUmrFERrjWx6oKtK2b6z_x4_gHBDlr4K1mRFGyE8yA-05-_v7Dxf3EIYJH

8. 応答を確認します。ID トークン、アクセストークン、更新トークンが含まれます。Amazon Cognito ユーザープールトークン使用の詳細については、「ユーザープール JSON ウェブトークン (JWT) の理解」を参照してください。