Amazon Cognito の特徴

顧客がサイトで最初に体験するのは、多くの場合、自己登録のプロセスを通じてです。Amazon Cognito は、カスタマイズ可能なプリパッケージのマネージドログインインターフェイスを提供し、迅速に市場に参入できるほか、完全なカスタム自己登録ソリューションを構築するための堅牢な API セットも提供します。ユーザーは、E メール、電話番号、またはユーザー名を使用してアプリケーションにサインアップできます。自己登録プロセスでは、ユーザーはカスタム属性を含むプロファイルデータの表示と更新が可能です。SMS メッセージや E メールによるパスワードリセットなど、セルフサービスオプションにより、ヘルプデスクへの問い合わせを削減できます。

Amazon Cognito には、数百万人のユーザーに拡張できる安全なテナントベースの ID ストア (ユーザープール) が用意されています。ユーザープールは、直接サインアップするユーザーと、外部 ID プロバイダーでサインインするフェデレーションユーザーのユーザープロファイルデータを安全に保存します。

Amazon Cognito の ID ストアは、API ベースのユーザーリポジトリです。このリポジトリと API は、ユーザーごとに最大 50 のカスタム属性の保存、さまざまなデータ型のサポート、および長さと変異性の制約の実施をサポートしています。サインアッププロセスの完了前にユーザーが指定する必要がある必須属性を選択します。

ユーザーは、バッチインポートまたはジャストインタイム (JIT) 移行を使用して Amazon Cognito に移行することができます。バッチによるユーザーの移行では、CSV ファイルによるインポートプロセスを使用します。JIT 移行プロセスを使用すると、AWS Lambda トリガーによって移行プロセスがサインインワークフローに統合され、ユーザーのパスワードを保持できます。

Amazon Cognito では、マルチテナントがサポートされた B2B のやり取りが可能です。アプリケーションの統合、アクセスとパスワードのポリシー、完全なテナントの分離の適用を再利用することもできます。

Amazon Cognito は、アプリケーションとの統合のラストマイルを保護します。AWS AppSync、Amazon Application Load Balancers (ALBs) と Amazon API gateways には、Amazon Cognito のトークンとスコープに基づいたアクセスを提供するポリシーエンフォースメントポイントが組み込まれています。

Amazon Verified Permissions クイックスタートを使用すると、お客様はアクセス許可ポリシーを自動生成し、Cognito グループのメンバーシップに基づいてロールベースのアクセス制御を割り当て、きめ細かな認証を行えます。Amazon Verified Permissions には、Amazon Cognito ID とアクセストークン (複雑なトークン中のトークンコンストラクトを含む) をサポートする組み込みのトークンオーソライザーがあります。

Amazon Cognito のアイデンティティプールとしても知られている Amazon Cognito の認証情報ブローカーは、Amazon DynamoDB、Amazon S3 バケット、AWS Lambda サーバーレスコンポーネントやその他の Amazon サービスなどの AWS リソースへの Single Sign-On アクセスを提供します。ユーザーは、サービスに対する最小特権アクセスをサポートするために、異なるロールに動的にマッピングすることができます。

OAuth クライアント認証情報フローを使用して、Amazon Cognito はマシンツーマシン認証を提供し、アプリケーションコンポーネント間の安全なエクスペリエンスを確保します。

OAuth 2.0 スコープとクレームの形式のカスタム属性を使用して ID とアクセストークンを強化します。アクセストークンでカスタム属性を使用すると、アプリケーション固有の高度な承認に関する決定を行うことができます。この機能を使用して、エンドユーザーエクスペリエンスをパーソナライズし、カスタマーエンゲージメントを向上させることもできます。

データ駆動型のアプローチで、顧客獲得と維持を促進します。顧客アウトリーチキャンペーンを開始し、Amazon Pinpoint でエンゲージメントを追跡します。Amazon Pinpoint は、Amazon Cognito ベースのユーザーアクティビティを分析し、Amazon Cognito は Pinpoint キャンペーンのためにユーザーデータをエンリッチ化します。

AWS Amplify は、フロントエンドのウェブ/モバイルデベロッパーが AWS でフルスタックアプリケーションをすばやく簡単に構築できるようにする一連の専用ツールと機能であり、ユースケースの進化に合わせて幅広い AWS のサービスを活用できる柔軟性を備えています。Amplify を使用すると、Amazon Cognito でウェブまたはモバイルアプリケーションのバックエンドを設定し、数分の内にアプリを接続して、ウェブフロントエンド UI を視覚的に構築できます。さらに、AWS コンソールの外部でも、簡単にアプリケーションコンテンツの管理が行えます。クラウドの専門知識がなくても、より速く、簡単に拡張できます。

CIAM ソリューションはカスタムソリューションです。Amazon Cognito は、認証、登録、およびユーザー移行フローを完全にカスタマイズするための堅牢なフックと拡張機能のセットを提供します。たとえば、自己登録フローは、カスタム ID 証明とアカウント検証チェックで補強でき、ログインプロセスは、カスタム認証フローを作成したり、トークンを生成する前に修正したりするために拡張できます。

Amazon Cognito SDK は、Java、C++、PHP、Python、Golang、Ruby、.NET、および JavaScript を使用して利用可能です。

AWS ウェブアプリケーションファイアウォール (AWS WAF) との組み込み統合により、Amazon Cognito には高度なボット検出機能が備わっているので、組織が自動アカウントについて課金されないようにし、ボット攻撃の影響を軽減できます。

Amazon Cognito は、ユーザーのサインアップ、サインイン、パスワード変更の際に、セキュリティ侵害を受けた認証情報の再利用をリアルタイムで検出し、防止することができます。他でセキュリティ侵害を受けた認証情報を入力していることが Amazon Cognito で検出されると、パスワードの変更を促されます。

アダプティブ認証により、ユーザーのアカウントを保護し、サインインエクスペリエンスを向上させます。Amazon Cognito で、新しい場所やデバイスからの試行、IP 位置情報に基づき不可能なトラベル条件など、通常とは異なるサインインアクティビティが検出されると、そのアクティビティにリスクスコアが割り当てられます。それによって、ユーザーに対して追加の証明を求めるか、そのサインインリクエストをブロックするかを選択できます。

Amazon Cognito は、AWS CloudTrail、Amazon CloudWatch メトリクス、および Amazon CloudWatch Logs Insights によるモニタリングをサポートしています。CloudTrail を使用すると、Amazon Cognito コンソールからの API コールと、Amazon Cognito API オペレーションへのコードコールをキャプチャできます。CloudWatch メトリクスを使用すると、ほぼリアルタイムでモニタリング、レポート、およびイベント発生時の自動アクションを実行できます。CloudWatch Logs Insights を使用すると、Amazon Cognito CloudTrail ログファイルをモニタリングするためのイベントを CloudWatch に送信するように CloudTrail を設定できます。

Amazon Cognito では、サインイン、サインアップ、パスワード変更などのユーザーイベントの高度なログ記録が可能で、リスクレベル、場所、ソース IP、ユーザーエージェントなどの詳細なリクエストデータを取得できます。お客様は、Amazon Kinesis Data Firehose を介して、このイベントログデータを Amazon CloudWatch、Amazon S3、またはサードパーティーのログ集約ソリューションにストリーミングできます。これにより、ユーザーアクティビティの包括的な監視と分析が可能になります。

Amazon Cognito は複数のセキュリティおよびコンプライアンス要件に適合しており、厳しい規制のある医療関連の企業や業者などの組織にも対応できます。Amazon Cognito は HIPAA に準拠し、PCI DSS、SOC、ISO/IEC 27001、ISO/IEC 27017、ISO/IEC 27018、ISO 9001 に適合しています。