# CognitoのトークンをLambdaで検証する方法（Node.js）

## 目次
1. はじめに
2. 必要な設定
    2.1. AWS Cognito設定
    2.2. Lambda関数の準備
3. トークンの検証プロセス
    3.1. トークンの種類と役割
    3.2. パブリックキーの取得
4. Node.jsによるトークン検証の実装
    4.1. ライブラリのインストール
    4.2. コードの実装
5. テストとデプロイ
    5.1. ローカル環境でのテスト
    5.2. AWS Lambdaへのデプロイ
6. よくある問題とトラブルシューティング
7. まとめ

## 1. はじめに
Amazon Cognitoは、ユーザー認証と承認を簡単に管理できるAWSサービスです。AWS Lambda関数を使ってCognitoから発行されるJWT（JSON Web Token）トークンを検証することで、ユーザー認証を安全に処理できます。本記事では、Node.jsを使ってCognitoのトークンをLambdaで検証する方法を詳しく解説します。

## 2. 必要な設定

### 2.1. AWS Cognito設定
まず、Cognitoユーザープールを作成し、アプリクライアントを設定してトークンを取得する準備をします。

1. AWSコンソールにログインし、Cognitoサービスに移動します。
2. 新しいユーザープールを作成し、名前を付けます。
3. アプリクライアントを追加し、クライアントシークレットなしで設定します。
4. ユーザープールのドメインを設定し、アプリクライアントの設定で必要なトークン（access, id, refresh）を選択します。

### 2.2. Lambda関数の準備
Lambda関数を作成し、その中でトークンの検証を行います。

1. AWS Lambdaコンソールに移動し、新しいLambda関数を作成します。
2. Node.jsランタイムを選択し、役割を設定して必要な権限を付与します。

## 3. トークンの検証プロセス

### 3.1. トークンの種類と役割
Cognitoは3種類のトークンを発行します。それぞれの役割を理解することが重要です。

- **IDトークン**: ユーザーの認証情報を含むトークンです。
- **アクセストークン**: APIにアクセスするためのトークンです。
- **リフレッシュトークン**: 新しいアクセストークンを取得するためのトークンです。

### 3.2. パブリックキーの取得
トークンの署名を検証するために、Cognitoの公開鍵を取得します。

1. ユーザープールのURLに`/.well-known/jwks.json`を追加してJWKS（JSON Web Key Set）を取得します。
   ```
   https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/jwks.json
   ```

## 4. Node.jsによるトークン検証の実装

### 4.1. ライブラリのインストール
トークンの検証には、`jsonwebtoken`と`jwks-rsa`ライブラリを使用します。

```bash
npm install jsonwebtoken jwks-rsa
```

### 4.2. コードの実装
以下に、Cognitoトークンを検証するためのNode.jsのサンプルコードを示します。

```javascript
const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

// JWKSクライアントの作成
const client = jwksClient({
  jwksUri: `https://cognito-idp.{region}.amazonaws.com/{userPoolId}/.well-known/jwks.json`
});

// キーの取得
function getKey(header, callback){
  client.getSigningKey(header.kid, (err, key) => {
    const signingKey = key.publicKey || key.rsaPublicKey;
    callback(null, signingKey);
  });
}

// トークンの検証
exports.handler = async (event) => {
  const token = event.headers.Authorization;

  return new Promise((resolve, reject) => {
    jwt.verify(token, getKey, {
      audience: '{appClientId}',
      issuer: `https://cognito-idp.{region}.amazonaws.com/{userPoolId}`,
      algorithms: ['RS256']
    }, (err, decoded) => {
      if(err) {
        reject(new Error('Token is not valid'));
      } else {
        resolve(decoded);
      }
    });
  });
};
```

## 5. テストとデプロイ

### 5.1. ローカル環境でのテスト
Lambda関数をローカルでテストする際には、モックデータを利用してトークンの有効性を確認します。

### 5.2. AWS Lambdaへのデプロイ
ローカルでのテストが成功したら、Lambda関数をAWSにデプロイします。

## 6. よくある問題とトラブルシューティング
- **認証エラー**: トークンの形式や有効期限を確認します。
- **ネットワークエラー**: パブリックキーの取得に失敗する場合、ネットワーク設定を確認します。

## 7. まとめ
AWS CognitoのトークンをLambdaで検証する方法は、ユーザー認証を安全に行うための重要な手段です。本記事では、Node.jsを用いた実装方法を詳細に解説しました。これにより、安全でスケーラブルなアプリケーションの開発が可能となります。

 [cv:issue_marketplace_engineer]

CognitoのトークンをLambdaで検証する方法（Node.js）

目次

続きを読むには単価診断を受けてください（30秒）