Serverless FrameworkでCognito認証

2212 ワード
cognito APIGateway ServerlessFramework cognito テキストリンク

CognitoのSignin情報を利用して、指定エンドポイントに認証を追加する方法です。

設定後の利用方法

  1. CognitoにSigninしてIdTokenを取得する
  2. 取得したIdTokenをheaderに設定してAPIのリクエストをする
    • headerのKeyは、オーソライザー作成時のトークンのソース

これだけで、認証されていない場合のアクセスを防ぐことが可能

やったこと

Api Gatewayでオーソライザー(cognito)の作成

設定画面

  • Cognitoユーザープール（ユーザー情報の場所）は、作成していると選択可能
  • トークンのソースは、APIに設定するヘッダー名を入れる
  • 作成すると、下記のようにIDができるのでそれをメモ

※おまけで、試しに認証した後にトークンのソースを変更してみたのですが、即適用されなかったです。再デプロイで適用されたので、ウォームスタート状態だと即適用はされなそうです。

serverless.yamlにauthoraizerの設定を追加

  • 要認証のエンドポイントに下記の感じで設定を入れる
      - http:
          cors: true
          path: "{proxy+}"
          method: any
          authorizer: 
            type: COGNITO_USER_POOLS
            authorizerId: "pk2q0p"
  • authorizerIdはオーソライザー作成で作られたIDを設定する

追記

公式見てて、下記の定義することで、オーソライザーを手動作成せず自動でいけました。

※env.USER_POOL_ID　は、cognitoユーザープールを手動作成してできたものを設定

authorizer: 
  name: Myauthorizer
  type: COGNITO_USER_POOLS
  arn:
   !Join [ ":", [ "arn:aws:cognito-idp", Ref: AWS::Region, Ref: AWS::AccountId, "userpool/${env:USER_POOL_ID}" ] ]

まとめ

やったことなかったので試しにやってみたら、あっさりでした。
軽く作る時とかこれで十分ですね。