JSON웹 토큰 확인

ID 토큰을 디코딩합니다.

OpenID 재단은 또한 토큰 작업을 위한 라이브러리 목록을 유지 관리합니다. JWT

사용자 풀을 AWS Lambda 디코딩하는 데도 사용할 수 있습니다. JWTs 자세한 내용은 를 사용하여 Amazon JWT Cognito 토큰 디코딩 및 확인을 참조하십시오. AWS Lambda

로컬 키 ID(kid)를 퍼블릭 kid와 비교합니다.

1. 사용자 풀에 해당하는 퍼블릭 JSON 웹 키 (JWK) 를 다운로드하고 저장합니다. JSON웹 키 세트 (JWKS) 의 일부로 제공됩니다. 환경에 jwks_uri URI 맞게 다음을 구성하여 찾을 수 있습니다.

   https://cognito-idp.<Region>.amazonaws.com/<userPoolId>/.well-known/jwks.json

   JWK및 JWK 세트에 대한 자세한 내용은 JSON웹 키 (JWK) 를 참조하십시오.

   참고

   Amazon Cognito는 사용자 풀의 서명 키를 교체할 수 있습니다. 가장 좋은 방법은 kid를 캐시 키로 사용하여 앱에서 퍼블릭 키를 캐시하고 주기적으로 캐시를 새로 고치는 것입니다. 앱에서 받는 토큰의 kid를 캐시와 비교합니다.

   발급자는 올바르지만 kid가 다른 토큰을 받은 경우 Amazon Cognito가 서명 키를 교체했을 수 있습니다. 사용자 풀 jwks_uri 엔드포인트에서 캐시를 새로 고칩니다.

   다음은 샘플 jwks.json 파일입니다.

   {
   	"keys": [{
   		"kid": "1234example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "1234567890",
   		"use": "sig"
   	}, {
   		"kid": "5678example=",
   		"alg": "RS256",
   		"kty": "RSA",
   		"e": "AQAB",
   		"n": "987654321",
   		"use": "sig"
   	}]
   }

   키 ID(kid)

   토큰의 kid JSON 웹 서명 (JWS) 을 보호하는 데 사용된 키를 나타내는 힌트입니다.

   알고리즘(alg)

   alg 헤더 파라미터는 ID 토큰을 보호하는 데 사용되는 암호화 알고리즘을 나타냅니다. 사용자 풀은 -256의 RSA 서명인 RS256 암호화 알고리즘을 사용합니다. SHA 에 대한 자세한 내용은 암호화를 참조하십시오. RSA RSA

   키 유형(kty)

   kty파라미터는 키와 함께 사용되는 암호화 알고리즘 패밀리를 식별합니다 (예: 이 예제에서는 RSA "“).

   RSA지수 () e

   e파라미터는 퍼블릭 키의 지수 값을 포함합니다. RSA 이는 Base64로 urlUInt 인코딩된 값으로 표시됩니다.

   RSA모듈러스 () n

   n파라미터는 RSA 퍼블릭 키의 모듈러스 값을 포함합니다. 이는 Base64로 urlUInt 인코딩된 값으로 표시됩니다.

   사용(use)

   use 파라미터는 퍼블릭 키의 용도를 설명합니다. 이 예제에서 use 값 sig는 서명을 나타냅니다.

2. 공개 JSON 웹 키에서 내 키와 kid 일치하는 키를 검색하십시오. kid JWT

JWT라이브러리를 사용하여 발급자의 서명을 토큰의 서명과 비교하십시오. 발급자 서명은 토큰과 일치하는 kid in jwks.json의 공개 키 (RSA모듈러스"n") 에서 파생됩니다. kid 먼저 를 형식으로 변환해야 할 수도 있습니다. JWK PEM 다음 예제에서는 JWT JWK 및 를 사용하고 Node.js 라이브러리인 jsonwebtoken을 사용하여 서명을 확인합니다. JWT

다음 방법 중 하나를 사용하여 토큰이 만료되지 않았는지 확인합니다.

1. 토큰을 디코딩하고 exp 클레임을 현재 시간과 비교합니다.

2. 액세스 토큰에 aws.cognito.signin.user.admin 클레임이 포함된 경우 API 좋아요에 요청을 보내세요 GetUser. API액세스 토큰으로 요청을 승인하면 토큰이 만료된 경우 오류가 반환됩니다.

3. UserInfo 엔드포인트 요청 시 액세스 토큰을 제시합니다. 토큰이 만료된 경우 요청에서 오류가 반환됩니다.

ID 토큰의 aud 클레임 및 액세스 토큰의 client_id 클레임은 Amazon Cognito 사용자 풀에서 생성된 앱 클라이언트 ID와 일치해야 합니다.

발행자(iss) 클레임은 사용자 풀과 일치해야 합니다. 예를 들어 us-east-1 리전에서 생성된 사용자 풀은 다음과 같은 iss 값을 갖게 됩니다.

https://cognito-idp.us-east-1.amazonaws.com/<userpoolID>.

token_use 클레임을 확인합니다.