OIDCのIDトークンを用いた認証サンプル¶

/**
 * Cognitoが発行するIDトークンが有効であるか検証するための機能を提供する。
 */
public class CognitoIdTokenVerifier implements IdTokenVerifier {

    /** リージョン */
    private String region;

    /** ユーザープール ID */
    private String userPoolId;

    /** クライアントID */
    private String clientId;

    /** 署名アルゴリズムプロバイダ */
    private SignatureAlgorithmProvider signatureAlgorithmProvider;

    @Override
    public DecodedJWT verify(String idToken) throws JWTVerificationException {
        // トークンが有効であるか検証する検証方法はCognitoのガイドに従う
        //   https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/amazon-cognito-user-pools-using-tokens-verifying-a-jwt.html
        // クライアント側でIDトークン取得後に即時送信されることを想定し、有効期限の許容範囲は60秒とする。
        JWTVerifier verifier = JWT.require(signatureAlgorithmProvider.get())
                .acceptExpiresAt(60)
                .withAudience(clientId)
                .withIssuer(createUserPoolUrl(region, userPoolId))
                .withClaim("token_use", "id")
                .build();
        return verifier.verify(idToken);
    }

    /**
     * ユーザープールのURLを作成する。
     *
     * @param region リージョン
     * @param userPoolId ユーザープールID
     * @return ユーザープールのURL
     */
    private String createUserPoolUrl(String region, String userPoolId) {
        return "https://cognito-idp." + region + ".amazonaws.com/" + userPoolId;
    }
    ...
}

/**
 * Cognitoが発行するトークンの署名検証に使用するアルゴリズムを提供する。
 */
public class CognitoSignatureAlgorithmProvider implements SignatureAlgorithmProvider {

    /** RSA公開鍵プロバイダ */
    private RSAKeyProvider rsaKeyProvider;

    @Override
    public Algorithm get() {
        return Algorithm.RSA256(rsaKeyProvider);
    }
    ...
}

/**
 * Cognitoが発行するトークンの検証に使用するRSA公開鍵を提供する。
 */
public class CognitoRSAKeyProvider implements RSAKeyProvider, Initializable {

    /** リージョン */
    private String region;

    /** ユーザープール ID */
    private String userPoolId;

    /** JWKプロバイダ */
    private JwkProvider provider;

    @Override
    public RSAPublicKey getPublicKeyById(String keyId) {
        try {
            Jwk jwk = provider.get(keyId);
            return (RSAPublicKey) jwk.getPublicKey();
        } catch (JwkException e) {
            return null;
        }
    }

    @Override
    public RSAPrivateKey getPrivateKey() {
        // 公開鍵のみ取得可能であるため、秘密鍵の取得はサポートしない
        throw new UnsupportedOperationException("Get private key is not supported");
    }

    @Override
    public String getPrivateKeyId() {
        // 未定義であるためインタフェースの仕様に則り null を返却する
        return null;
    }

    @Override
    public void initialize() {
        // Cognitoが公開しているJWKSエンドポイントから公開鍵を取得するためのプロバイダを作成する。
        // プロバイダでは以下の設定をすることができる。
        // ・キーID（kidクレームの値）ごとの結果をどれだけの期間いくつまでキャッシュするか
        // ・JWKSエンドポイントへのアクセスをどれだけの期間で何回まで許容するか
        // ・JWKSエンドポイントへのアクセス時にプロキシを使用するか
        // ここでは以下のとおり設定している。
        // ・キーIDは1時間に4つまでキャッシュする（キーのローテーションを跨いだ場合でも通常使用ではキャッシュされる範囲）
        // ・JWKSエンドポイントへのアクセスは1分で10回まで許容する（キャッシュを考慮すると通常使用では到達しない範囲）
        // ・プロキシは使用しない
        this.provider = new JwkProviderBuilder(createUserPoolUrl(region, userPoolId))
                .cached(true)
                .cached(4, 1, TimeUnit.HOURS)
                .rateLimited(true)
                .rateLimited(10, 1, TimeUnit.MINUTES)
                .proxied(Proxy.NO_PROXY)
                .build();
    }

@Path("/cognito/login")
public class LoginAction {

/**
 * IDトークンで認証を行い、成功すればログインセッションを確立する。
 *
 * @param context 実行コンテキスト
 * @param form リクエストボディ
 */
@POST
@Consumes(MediaType.APPLICATION_JSON)
@Valid
public void login(ExecutionContext context, LoginRequestForm form) {
    // IDトークンが有効であるか検証する
    DecodedJWT decodedJWT = verifyIdToken(form.getIdToken());

    // 安全性向上のため、認証成功後にセッションIDおよびCSRFトークンを変更する
    SessionUtil.changeId(context);
    CsrfTokenUtil.regenerateCsrfToken(context);

    // IDトークンで連携された情報からユーザー情報を特定して、認証状態をセッションに保持する
    String userId = decodedJWT.getSubject();
    SessionUtil.put(context, "user.id", userId);
}

/**
 * IDトークンが有効であるか検証する。
 *
 * @param idToken IDトークン
 * @return デコード済みのIDトークン
 * @throws HttpErrorResponse 無効なIDトークンである場合（HTTPステータスコードは401）
 */
private DecodedJWT verifyIdToken(String idToken) {
    // プロパティを使用した検証用コンポーネントを定義しているため、システムリポジトリから取得する
    IdTokenVerifier idTokenVerifier = SystemRepository.get("idTokenVerifier");
    try {
        // IDトークンを検証する
        return idTokenVerifier.verify(idToken);
    } catch (JWTVerificationException e) {
        if (LOGGER.isDebugEnabled()) {
            LOGGER.logDebug("ID token verification failed...", e);
        }
        // 検証で異常を検知した場合は、ステータスコードが401(Unauthorized)のエラーレスポンスを返却する
        throw new HttpErrorResponse(HttpResponse.Status.UNAUTHORIZED.getStatusCode());
    }
}