Black Belt Online Seminar 2,016年5月18日開催 Amazon Cognito の資料です

1. Amazon Cognito
Mobile Identity Management and Data Synchronization
Keisuke Nishitani (@Keisuke69)
Amazon Web Services Japan K.K.
May 18, 2016

2. Profile
Keisuke Nishitani
Solutions Architect, Amazon Web Service Japan K.K
@Keisuke69 Keisuke69
✤ AWS のソリューションアーキテクト
✤ Web サービス系
✤ モバイル系
✤ クラウドを使ったアプリ開発とかモバイル開発の話しをよくしてい
ます
✤ モバイルニンジャ1号機
✤ REST おじさん
✤ Lambda Wizards
✤ 餃⼦の王将エヴァンジェリスト（⾃称）
Keisuke69 Keisuke69Keisuke69x

3. AWS Black Belt Online Seminer へようこそ！
✤ 質問を投げることができます！
✤ Adobe Connect のチャット機能を使って、質問を書き込んでください。（書き
込んだ質問は、主催者にしか⾒えません）
✤ Twitterへツイートする際はハッシュタグ #awsblackbelt をご利⽤ください。
①画⾯右下の
チャットボックス
に質問を書き込ん
でください
②吹き出しマーク
で送信してくださ
い

4. 内容についての注意点
✤ 本資料では2016年5⽉18⽇時点のサービス内容および価格についてご
説明しています。最新の情報は AWS 公式ウェブサイト
(http://aws.amazon.com) にてご確認ください。
✤ 資料作成には⼗分注意しておりますが、資料内の価格と AWS 公式
ウェブサイト記載の価格に相違があった場合、AWS 公式ウェブサイ
トの価格を優先とさせていただきます。
✤ 価格は税抜表記となっています。⽇本居住者のお客様がサービスを使
⽤する場合、別途消費税をご請求させていただきます。
AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with
the AWS Customer Agreement available at http://aws.amazon.com/agreement/. Any pricing information included in this
document is provided only as an estimate of usage charges for AWS services based on certain information that you have
provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided.

5. モバイル開発における課題

6. 付加価値を⽣ま
ない重労働

7. どうやって差別化するか

8. アプリ開発、とくに差別化のため
の開発に集中したい

9. モバイル開発における課題
開発者が直⾯する課題
• 複数プラットフォーム
• スケーラビリティの確保
• ⾼い運⽤管理コストと限られた予算
• ユーザエクスペリエンスの阻害
• ユニークなユーザ ID の管理
モバイルアプリケーション
アイデンティティの管理と認可
データ同期
アクティブなユーザの分析
エンゲージメントの分析
Push 通知
イベントトリガー
クロスプラットフォーム
データのバリデーションと変換
ファイル/メディア保管⽤ストレージ
データベース
And More….
AWS Cloud Infrastructure

10. AWS Mobile サービス
Cognito
Kinesis DynamoDB S3 SQS SES
グローバルインフラ
コアとなるサービス群
モバイルに最適化
されたコネクタ
モバイルに最適化
されたサービス
AWS SDK for Android
ストレージ データベース キュー メール
コンピュート
ネットワーク
AWS Mobile SDK
Mobile Analytics SNS Mobile Push
AWS SDK for iOS AWS SDK for Unity
あなたのモバイルアプリ
ゲーム ユーティリティ ファイナンス エンターテインメント
Lambda
Device Farm API Gateway
AWS SDK for JavaScript
ソーシャル

11. AWS Mobile SDK
✤ 全てのサービスに共通の認証機構
✤ オンライン・オフラインを⾃動でハンドリ
ング
✤ クロスプラットフォームのサポート：
Android, iOS, Fire OS, Unity, Xamarin
✤ Mobile OS への最適化
例： ローカルオフラインキャシュを利⽤
するアーキテクチャ
✤ メモリフットプリントの削減
✤ 各プラットフォームのエンハンスに追従
iOS Android Fire OS Unity
Xamarin

12. 典型的なユースケース
ユーザ
ユーザ認証をしたい
適切な権限を与えたい
⾏動分析をしたい
データ
データの同期をしたい
データベースを使いたい
センサーデータを送りたい
メディアファイル
画像/⾳楽を保存したい
アセットを配信したい
ロジック
サーバサイドで処理したい
独⾃ API を⽤意したい
メッセージ
プッシュ通知を送りたい
テスト
実機でテストしたい
<TEST/>

13. 典型的なユースケース
ユーザ データ メディアファイル
ロジック メッセージ テスト
<TEST/>
Amazon Cognito
AWS Identity and
Access Management
Amazon Mobile
Analytics
Amazon DynamoDB
Amazon Kinesis
Amazon CloudFront
Amazon S3
Transfer Manager
AWS Lambda
API Gateway
Amazon SNS Mobile Push AWS Device Farm
Amazon Cognito

14. インフラ構築
✤ インフラの運⽤管理
✤ キャパシティ
✤ スケール
✤ デプロイ
✤ 耐障害性
✤ モニタリング
✤ ロギング
✤ ビジネスの差別化には
直接つながらない機能のアプリ実装
✤ 認証
✤ スロットリング
✤ スケーラビリティの確保
✤ etc

15. インフラ構築
✤ インフラの運⽤管理
✤ キャパシティ
✤ スケール
✤ デプロイ
✤ 耐障害性
✤ モニタリング
✤ ロギング
✤ ビジネスの差別化には
直接つながらない機能のアプリ実装
✤ 認証
✤ スロットリング
✤ スケーラビリティの確保
✤ etc
不要
不要
不要
（各サービスが
適切にハンドリング）

16. Amazon Cognito

17. IdP をまたがった
認証済みユーザと
ゲストユーザの管理
統合的なアイデンティ
ティの管理
クロスデバイス/クロス
プラットフォームな
ユーザデータの同期
データ同期
AWS サービスへのセ
キュアなアクセス
AWSへの
セキュアなアクセス
GuestYour own auth
Amazon Cognito Identity Amazon Cognito Sync
Amazon Cognitoのこれまで
k/v data

18. Amazon Cognito Sync
User Data
Storage and
Sync
Any Platform
iOS/Android/FireOS
ユーザのデータ、設定や情報を保存
アプリとデバイスのデータをクラウドに保存でき、ロ
グイン後にマージ
クロスデバイス/クロス OS な同期
数⾏のコードでデバイスやプラットフォームをま
たがってユーザのデータや設定を同期
オフライン動作
データは常にローカルの SQLite にまず保存され
るので電波が不安定もしくは不通であってもシー
ムレスに動作
k/v data
Identity pool
バックエンド不要
スケーラブルで信頼性の⾼いデータ同期基盤
をシンプルなクライアント SDK を組み込む
だけで利⽤可能

19. Amazon
API Gateway
Sign in with
Facebook
Or
Username
Password
Sign In
Or
Start as a guest
Amazon Cognito Identity
統合的なアイデンティティと AWS サービスへの
セキュアなアクセス
サードパーティのアイ
デンティティプロバイ
ダによる認証
Amazon Cognito Identity
ゲストアクセス
独⾃の認証システムに
よる認証
AWS リソースへセキュ
アにアクセスするため
の⼀時的な認証情報を
提供
Amazon
DynamoDB
Amazon S3

20. ID プロバイダ
ゲストアクセス
独⾃認証システム
ユニーク ID
Joe Anna Bob
デバイス
プラットフォーム
AWS サービス
複数の ID プロバイダをサポート
ID プロバイダと簡単に連携して認証
Amazon, Facebook, Twitter, Google,
OpenID Connect などに対応
ユニークなアイデンティティ
認証済ユーザに対してユニークIDを割り当て、
デバイスやプラットフォームをまたがって認
識と管理
Amazon Cognito Identity
Mobile
Analytics
S3 DynamoDB Kinesis
容易なセキュリティのベストプラクティ
ス実装
モバイルデバイスから AWS リソースへのセ
キュアなアクセスのためのやり取りをIAMと
連携して簡略化

21. Amazon Cognitoの認証フロー
Amazon Cognito ID
(Temp Credentials)
Amazon
DynamoDB
End Users
Developer
App with AWS
Mobile SDK
Access
to AWS Services
Amazon Cognito
Identity Broker
User Name
Password
Amazon Cognito ID,
Temp Credentials
Amazon S3
Amazon Mobile
Analytics
Amazon Cognito
Sync Store
AWS
Management
Console
Token
Pool ID
Role ARNs
User Authentication
System
(Running on AWS or not)
Token

22. 未認証ユーザのゲストアクセス
（Unauthenticated Identities）
✤ ID プロバイダで認証をしていないユーザをゲスト
ユーザとしてユニーク ID の付与と管理
✤ 未認証の場合、ID はデバイスと紐づくので同⼀デバイスから
のアクセスの場合に同⼀ユーザとして認識される
✤ 未認証によるアクセスを許可しない設定も可能
✤ アプリや AWS リソースへのアクセスにアカウントの
作成や認証が不要
✤ アクセス権限は未認証ユーザに対して割り当てた IAM Role の
ポリシーに基づく
✤ センサーデバイス等のスクリーンや⼊⼒装置のないデバイス
に対してもユニーク ID の付与と管理が可能
✤ データはクラウド上に保存され後からログインした場
合は⾃動でマージ
Visitor
Preferences
Cognito
Store
Guest
EC2 S3 DynamoDB Kinesis

23. （参考）OpenID Connect
✤ 2014年2⽉に最終承認された ID 連携に関する仕様
✤ 準拠している ID プロバイダを Cognito でも利⽤可能
例：Salesforce, Ping Identity, Google etc…

24. Amazon Cognito Identity
統合的なアイデンティティとAWSサービスへの
セキュアなアクセス
サードパーティのアイ
デンティティプロバイ
ダによる認証
Developer Authenticated Identities
ゲストアクセス
独⾃の認証システムに
よる認証
Sign in with
Facebook
Or
Username
Password
Sign In
Or
Start as a guest
独⾃形式のユーザ ID で認証
したい場合、認証システム
を実装して連携することで
可能

25. Developer Authenticated Identity
Username
And Password
独⾃認証システム
パブリック ID プロバイダの併⽤
Cognito の ID を元にパブリックな ID プロバ
イダと独⾃認証を併⽤して管理することも可
能
認証基盤の実装が必要
GetOpenIdTokenForDeveloperIdentity() を実
装する
既存の認証基盤を使う場合、改修が必要
独⾃認証システムの利⽤
パブリックなIDプロバイダではなく独⾃の
Username と Password を使って認証

26. Amazon Cognitoの認証フロー
（Developer Authenticated Identities）
Amazon Cognito ID
(Temp Credentials)
Amazon
DynamoDB
End Users
Developer
App with AWS
Mobile SDK
Access
to AWS Services
Amazon Cognito
Identity Broker
Get OpenID Token
User Name
Password
Amazon Cognito ID,
Temp Credentials
Amazon S3
Amazon Mobile
Analytics
Amazon Cognito
Sync Store
AWS
Management
Console
OIDC Token
Pool ID
Role ARNs
独⾃認証システム
(AWS上で稼働していなくてもOK)
OIDC Token
OIDC Token

27. Photo credit: jerryfergusonphotography via Visualhunt / CC BY
Developer Authenticated Identities
の課題

28. ✤ 開発者は「付加価値を⽣まな
い重労働」に従事しなければ
いけない
✤ ディレクトリの構築と維持
✤ セキュリティ権限の取得
✤ パスワード紛失といったワーク
フローのサポート
✤ ユーザベースの成⻑にあわせた
スケール
Developer Authenticated Identities の課題

29. Amazon Cognito Identity User Pools (Beta)
モバイルおよび Web アプリ
にサインアップとサインイ
ンの機能を簡単に追加
ユーザ管理を簡単に
電話番号や email アドレス
の検証と多要素認証の提供
拡張されたセキュリティ機能
数億のユーザまでスケール
するユーザディレクトリを
作成・管理するシンプル、
セキュア、低コストでフル
マネージドなサービス
マネージド型
ユーザディレクトリ

30. 幅広いユーザシナリオ
Email もしくは
電話番号による確認
パスワード紛失
ユーザのサインアップ
とサインイン
アカウントを確認するためのEmailアドレスや電話番号の検証
パスワードを紛失した場合にユーザは⾃分⾃⾝でパスワード変更可能
Email、電話番号もしくはユーザ名とパスワードを使⽤したサインアップ
サインアップ後のサインイン
ユーザプロファイル カスタム属性を含むユーザプロファイルの取得と更新
SMS ベースの MFA
有効にすると、サインアップ、パスワード紛失におけるフローの⼀環として
SMS を通じた確認コードによる多要素認証（MFA）を利⽤可能

31. 幅広い管理者シナリオ
ユーザプール内の
ユーザ管理
Email と電話番号の確認
AWS Lambda による
カスタマイズ
パスワードポリシーの
セットアップ
ユーザプールの
作成と管理
ユーザプール内の特定ユーザのリスト、検索、アクション実⾏
アカウントの有効化前に SMS を通じてユーザの emailアドレスと電話番号を検
証する設定（SMS経由）
ワークフローをカスタマイズするためにAWS Lambda のファンクションを作成
最⼩⽂字数、⼤⽂字、特殊⽂字を含めるといったパスワード要件のコントロー
ル
AWS アカウント内に複数のユーザプールを作成、構成、削除可能
属性の定義 必要な属性の選択とカスタムユーザ属性の定義

32. セキュアなサインインを簡単に
トークンベースの認証
Secure Remote
Passwordプロトコル
SMS ベースの
多要素認証（MFA）
OpenID Connect (OIDC) とOAuth2.0の標準をベースとしたトークンを利⽤
end to end でセキュアにパスワードを取り扱うために Secure Remote Password
(SRP) プロトコルを使⽤
セキュリティの外部レイヤとして携帯電話のテキストメッセージ機能をエンド
ユーザが利⽤可能

33. Amazon Cognitoと統合されたアイデンティティ
Amazon Cognito
User Pool
User
サインイン1
アクセストー
クンと ID トー
クンの返却
2
Amazon Cognito -
Federated Identities
(Identity Pool)
AWS内の認証情報を
取得
3
AWSサービスへ
のアクセス
4
Amazon
DynamoDB
Amazon
S3
Amazon
API Gateway

34. ユーザ属性
✤ 標準で⽤意されている16種類の属性に加え最⼤25個まで任意のカスタ
ム属性を追加可能
✤ 標準で⽤意されている属性は設定で required にチェックを⼊れるとサ
インアップ時に必須な情報となる
✤ Email や電話番号を使ってサインインしたい場合はエイリアスを利⽤
する
✤ カスタム属性
✤ ⽂字列もしくは数値で定義可能
✤ 最⼤/最⼩⽂字数を設定可能
✤ 暗号化され、検索不可

35. ユーザ属性
属性名 エイリアス利⽤化 備考
address
birth_date
email ✓ 検証可能
family_name
gender
given_name
locale
middle_name
nickname
phone_number ✓ 検証可能
国番号が必須（+81など）
ハイフン不要
picture
preferred_username ✓ reqiuredとariasの両選択は不可
profile
timezone
username プール内でユニークであること
常に必須
website

36. パスワードポリシーの設定
✤ よくあるパスワードポリシーを設定可能
✤ 最⼩⽂字数（6⽂字以上）
✤ ⼤⽂字が必ず含まれること
✤ 数字が必ず含まれること
✤ 以下の特殊⽂字が必ず含まれること
^ $ * . [ ] { } ( ) ? - “ ! @ # % & / , > < ‘ : ; | _ ~ `

37. Email と電話番号の検証
✤ 検証コードを Email もしくは SMS で送信することで⾃動的に有効性
を検証可能
✤ 設定を有効にしておくとユーザ登録時もしくは「email」もしくは
「phone_number」の値が追加された時に⾃動で送信される
✤ クライアントアプリ側では検証コードが必要かどうかが判別可能なの
でユーザに検証コードを促す UI を⽤意する
✤ Email や電話番号を使わずに独⾃の⽅法で検証したい場合は「pre-
signup」フックと AWS Lambda を利⽤する

38. MFA（Multi Factor Authentication）
✤ SMS を利⽤した多要素認証をサポート
✤ 必須にすることもユーザに選択させることも可能
✤ MFAを有効にした場合は「phone_number」が必須になる
✤ クライアントアプリでサインイン時にユーザ名とパスワードだけでな
くコード⼊⼒の UI を⽤意する
✤ ベータ期間中は SMS の送信元番号は変更不可

39. AWS Lambda を使ったカスタマイズ
AWS Lambda フック 例
Pre user sign-up
サインアップリクエストを許可/拒否するた
めのカスタムバリデーション
Custom message
検証メッセージのカスタマイズとローカラ
イズ
Pre user sign-in
サインインリクエストの拒否/許可するため
のカスタムバリデーション
Post user sign-in カスタム分析のためのイベントロギング
Post user confirmation
ウェルカムメッセージやカスタム分析のた
めのイベントロギング

40. Pricing
✤ MAU（Monthly Active User）に基いて課⾦
✤ サインアップ、サインイン、トークンの更新またはパスワードの変更などの操
作が発⽣したユーザ
✤ 50000 MAUの無料利⽤枠
MAU MAUあたりの料⾦
最初の 50,000 MAU まで 無料
次の 50,000 MAU まで 0.00550 USD
次の 900,000 MAU まで 0.00460 USD
次の 9,000,000 MAU まで 0.00325 USD
10,000,000 MAU を超える分 0.00250 USD

41. Demo

61. Photo credit: rolands.lakis via VisualHunt.com / CC BY

62. 資料の配置場所
✤ AWS クラウドサービス活⽤資料集
✤ http://aws.amazon.com/jp/aws-jp-introduction/
✤ AWS Solutions Architect ブログ
✤ 最新の情報、セミナー中のQ&A等が掲載されています
✤ http://aws.typepad.com/sajp/

63. 公式Twitter/Facebook
AWSの最新情報をお届けします
@awscloud_jp
検索
最新技術情報、イベント情報、お役⽴ち情報、
お得なキャンペーン情報などを⽇々更新しています！
もしくは
http://on.fb.me/1vR8yWm