## AWS Cognito の JWT が InvalidSignatureException で検証できないときの原因

### 目次

1. AWS Cognito と JWT の概要

2. InvalidSignatureException の原因

    - 2-1. 公開鍵の取得ミス

    - 2-2. JWT の改ざん

    - 2-3. JWT の過期

    - 2-4. 設定ミス

3. InvalidSignatureException の対処方法

    - 3-1. 公開鍵の正しい取得と検証

    - 3-2. JWT の有効性の確認

    - 3-3. 設定の再確認

    - 3-4. ログと監視を利用したトラブルシューティング

4. まとめ

### 1. AWS Cognito と JWT の概要

**AWS Cognito** は、ユーザーの登録とサインインを簡素化するためのサービスです。多くのアプリケーションで、認証情報として JSON Web Token (**JWT**) を利用しています。JWT は、ユーザーの情報を安全に渡すための標準化されたトークン形式です。

JWT は3つのパートから構成されます：

- **ヘッダー**：署名アルゴリズムとトークンタイプを定義

- **ペイロード**：トークンに含まれるクレーム（情報）のセット

- **署名**：ヘッダーとペイロードのハッシュと秘密鍵によって生成される

AWS Cognito では、JWT の **署名** を検証することで、トークンの正当性を確認します。このプロセスで `InvalidSignatureException` が発生した場合、何らかの問題があり、トークンが期待どおりに検証できないことを示しています。

### 2. InvalidSignatureException の原因

ここでは `InvalidSignatureException` が発生する典型的な理由について説明します。

#### 2-1. 公開鍵の取得ミス

JWT に使用される署名を検証するために、正しい **公開鍵** を取得する必要があります。AWS Cognito はこの公開鍵を、特定のエンドポイントから提供していますが、取得または利用時に以下のミスがあると例外が発生する可能性があります。

- **キャッシュが古い**：公開鍵が更新されても、古いキャッシュを使用している

- **誤ったエンドポイントから取得**：正しいリージョンやユーザープールのエンドポイントを利用していない

#### 2-2. JWT の改ざん

トークンのペイロードやヘッダーが改ざんされると、署名が一致しないため例外が発生します。原因としては：

- **中間者攻撃**などにより改ざんされた可能性

- **誤ってトークンを直接編集**してしまった

#### 2-3. JWT の過期

JWT には有効期限があります。トークンがこの期限を過ぎた場合も署名が検証されず、例外が発生する可能性があります。

#### 2-4. 設定ミス

Cognito の設定自体に問題がある場合、生成される JWT が正しくないことがあります。特に、以下の設定が正しく行われているか確認が必要です：

- ユーザープール設定

- アプリクライアント設定

- 正しいオーディエンス（aud）設定

### 3. InvalidSignatureException の対処方法

次に、`InvalidSignatureException` を解決するための具体的な方法を紹介します。

#### 3-1. 公開鍵の正しい取得と検証

AWS では、JWT の公開鍵が JSON Web Key Set (JWKS) 形式で提供されています。この公開鍵を利用して JWT の署名を検証します。これを行うために：

- **正しいエンドポイント URL** を使用する：例）https://cognito-idp.{リージョン}.amazonaws.com/{ユーザープールID}/.well-known/jwks.json

- **正しいキャッシング**戦略を確立する、例えば、短すぎるキャッシュ間隔にしないなど

#### 3-2. JWT の有効性の確認

生成された JWT トークン自体を以下の点で確認します：

- **有効期限が切れていない**かどうかを確認する（`exp` クレーム）

- **改ざんがないか確認**する。 JWT デコーダーツールを使用してトークンを解析し、内容が正しいか確認

#### 3-3. 設定の再確認

Cognito の設定が JWT の生成に影響するため、特に以下を確認してください：

- **ユーザープールとアプリクライアントの設定**：例えば、適切なクライアント ID が設定されているか

- **発行されたトークンのaud（オーディエンス）クレーム**が、クライアント ID と一致しているか

#### 3-4. ログと監視を利用したトラブルシューティング

- **CloudWatch ログ**や **Cognito の監査ログ**を設定し、問題が発生した際の詳細な情報を取得します。これにより、何が失敗したのかを明確に追跡可能

### 4. まとめ

AWS Cognito の JWT を使用したシステムで `InvalidSignatureException` が発生する原因は様々です。本記事では主に、公開鍵の取得ミス、トークンの改ざん、JWT の過期、設定ミスを紹介しました。正しい公開鍵の使用やJWTの内容を定期的に監視し、トークンの正当性を逐一確認することで問題を未然に防ぐことができます。また、設定の再確認やログの利用により、発生した問題を迅速に解決することも可能です。これにより、Cognito ベースの認証システムをより信頼性の高いものとすることができます。

AWS Cognito の JWT が InvalidSignatureException で検証できないときの原因

目次

続きを読むには単価診断を受けてください（30秒）