ステップ 3.ユーザープールにソーシャルサインインを追加する (オプション)

ソーシャル IdP に登録するユーザープールにソーシャル IdP を追加するソーシャル IdP の設定をテストする次のステップ

アプリユーザーが Facebook、Google、Amazon、Apple などのソーシャル ID プロバイダー (IdP) を介してサインインするようにできます。ユーザーが直接サインインしても、サードパーティーを介してサインインしても、すべてのユーザーにはユーザープールにプロファイルがあります。ソーシャルサインイン ID プロバイダーを通じてサインインを追加しない場合は、この手順を省略してください。

Amazon Cognito でソーシャル IdP を作成するには、アプリケーションをソーシャル IdP に登録して、クライアント ID とクライアントシークレットを取得する必要があります。

Facebook の開発者アカウントを作成します。
Facebook 認証情報を使用してサインインします。
[マイアプリ] メニューから、[新しいアプリを作成] を選択します。
Facebook アプリに名前を付け、[アプリ ID を作成してください] を選択します。
左のナビゲーションバーで、[設定]、[ベーシック] の順に選択します。
[アプリ ID] と [アプリシークレット] を書き留めます。これらは次のセクションで使用します。
ページの下部で、[+ プラットフォームを追加] を選択します。
[ウェブサイト] を選択します。
[ウェブサイト] の [サイト URL] に、/oauth2/idpresponse エンドポイントを含むユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>/oauth2/idpresponse
```
[Save changes] を選択します。
[アプリドメイン] にユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>
```
[Save changes] を選択します。
ナビゲーションバーで [プロダクト] を選択し、[Facebook ログイン] の [設定] を選択します。
ナビゲーションバーで [Facebook ログイン]、[設定] の順に選択します。

[有効な OAuth リダイレクト URI] にリダイレクト URL を入力します。/oauth2/idpresponse エンドポイントを持つユーザープールドメインで構成されます。
```
https://<your-user-pool-domain>/oauth2/idpresponse
```
[Save changes] を選択します。

Amazon の開発者アカウントを作成します。
Amazon 認証情報を使用してサインインします。
Amazon クライアント ID およびクライアントシークレットを受け取るには、Amazon セキュリティプロファイルを作成する必要があります。

ページの上部にあるナビゲーションバーで [Apps and Services (アプリとサービス)] を選択し、[Login with Amazon] を選択します。
[Create a New Security Profile (新しいセキュリティプロファイルの作成)] を選択します。
[セキュリティプロファイル名]、[セキュリティプロファイルの説明]、[Consent Privacy Notice URL (プライバシー規約 URL の同意)] に入力します。
[Save] を選択します。
[クライアント ID] および [クライアントシークレット] を選択して、クライアント ID およびシークレットを表示します。これらは次のセクションで使用します。
歯車にマウスカーソルを合わせ、[Web Settings (ウェブ設定)]、[編集] の順に選択します。
[Allowed Origins (許可されたオリジン)] にユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>
```
[/oauth2/idpresponse] エンドポイントを含むユーザープールドメインを [Allowed Return URLs (許可されたリターン URL)] に入力します。
```
https://<your-user-pool-domain>/oauth2/idpresponse
```
[Save] を選択します。

Google の開発者アカウントを作成します。
Google 認証情報を使用してサインインします。
[CONFIGURE A PROJECT (プロジェクトの設定)] を選択します。
プロジェクト名を入力し、[NEXT (次へ)] を選択します。
プロダクト名を入力し、[NEXT (次へ)] を選択します。
[Where are you calling from? (どちらからアクセスしていますか?)] ドロップダウンリストから [ウェブブラウザ] を選択します
[Authorized JavaScript origins (承認済みの JavaScript 生成元)] にユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>
```
[CREATE (作成)] を選択します。このステップでは、[クライアント ID] と [クライアントシークレット] は使用しません。
[DONE (完了)] を選択します。
Google コンソールにサインインします。
左のナビゲーションバーで、[認証情報] を選択します。
[認証情報を作成] ドロップダウンリストから [OAuth クライアント ID] を選択して、OAuth 2.0 認証情報を作成します。
[ウェブアプリケーション] を選択します。
[Authorized JavaScript origins (承認済みの JavaScript 生成元)] にユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>
```
[承認済みのリダイレクト URI] に /oauth2/idpresponse エンドポイントのユーザープールのドメインを入力します。
```
https://<your-user-pool-domain>/oauth2/idpresponse
```
[作成] を 2 回選択します。
[OAuth クライアント ID] と [クライアントシークレット] を書き留めます。これらは次のセクションで必要になります。
[OK] を選択します。

Apple の開発者アカウントを作成します。
Apple 認証情報を使用してサインインします。
左のナビゲーションバーで、[Certificates, IDs & Profiles] を選択します。
左のナビゲーションバーで、[Identifiers (識別子)] を選択します。
[Identifiers (識別子)] ページで、[+] アイコンを選択します。
[Register a New Identifier] ページで、[App IDs]、[Continue] の順に選択します。
[Register an App ID] ページで、次の操作を行います。
1. [説明] に、説明を入力します。
2. [App ID Prefix] に、識別子を入力します。[App ID Prefix ] の値を書き留めます。この値は、ステップ 2: ユーザープールにソーシャル IdP を追加するで Apple を ID プロバイダーとして選択する際に必要になります。
3. [Capabilities] で、[Sign In with Apple] を選択してから [Edit (編集)] を選択します。
4. [Sign in with Apple: App ID Configuration] ページで、アプリの適切な設定を選択後、[保存] を選択します。
5. [Continue] を選択します。
[Confirm your App ID] ページで、[登録] を選択します。
[Identifiers] ページの右側にある [App IDs] にマウスカーソルを合わせ、[Services IDs] を選択後、[+] アイコンを選択します。
[Register a New Identifier] ページで、[Services IDs]、[Continue] の順に選択します。
[Register a Services ID] ページで、次の操作を行います。
1. [説明] に、説明を入力します。
2. [Identifier] に、識別子を入力します。この Services ID の値を書き留めます。この値は、ステップ 2: ユーザープールにソーシャル IdP を追加するで Apple を ID プロバイダーとして選択する際に必要になります。
3. [Sign In with Apple] を選択後、[Configure] を選択します。
4. [Web Authentication Configuration] ページで、[Primary App ID] を選択します。[Web Domain] に、ユーザープールのドメインを入力します。[Return URLs] に、ユーザープールのドメインを入力し、/oauth2/idpresponse エンドポイントを追加します。次に例を示します。
```
https://<your-user-pool-domain>/oauth2/idpresponse
```
5. [Add (追加)]、[Save (保存)] の順に選択します。ドメインを検証する必要はありません。
6. [Continue] を選択し、[登録] を選択します。
左のナビゲーションバーで、[Keys (キー)] を選択します。
[Keys (キー)] ページで、[+] アイコンを選択します。
[Register a New Key] ページで、次の操作を行います。
1. [Key Name] に、キー名を入力します。
2. [Sign In with Apple] を選択後、[Configure] を選択します。
3. [Configure Key] ページで、[Primary App ID]、[Save] の順に選択します。
4. [Continue] を選択し、[登録] を選択します。
[Download Your Key] ページで、[Download] を選択してプライベートキーをダウンロードし、[Done] を選択します。このプライベートキーおよび [Key ID] の値は、ステップ 2: ユーザープールにソーシャル IdP を追加するで Apple を ID プロバイダーとして選択する際に必要になります。

このセクションでは、前のセクションで取得したクライアント ID およびクライアントシークレットを使用してユーザープールにソーシャル IdP を設定します。

AWS マネジメントコンソールでユーザープールのソーシャル ID プロバイダーを設定するには

Amazon Cognito コンソールに移動します。AWS 認証情報を要求される場合があります。
[Manage your User Pools] を選択します。
リストから既存のユーザープールを選択するか、ユーザープールを作成します。
左のナビゲーションバーで、[ID プロバイダー] を選択します。
ソーシャル ID プロバイダー (例: [Facebook]、[Google]、[Login with Amazon]、[Apple]) を選択します。
Google と Login with Amazon の場合は、前のセクションでソーシャル ID プロバイダーから取得したアプリのクライアント ID とクライアントシークレットを入力します。Facebook の場合は、前のセクションでソーシャル ID プロバイダーから受け取ったアプリクライアント ID とアプリクライアントシークレットを入力し、API バージョンを選択します。Facebook API の各バージョンにはライフサイクルとサポート終了日があるため、可能な限り高いバージョン (バージョン 2.12 など) を選択することをお勧めします。問題が発生した場合は、API バージョンのポスト作成を変更できます。Facebook のスコープと属性は API バージョンごとに異なる可能性があるため、統合をテストすることをお勧めします。 Sign in with Apple の場合は、前のセクションで取得したサービス ID、チーム ID、キー ID、およびプライベートキーを入力します。

承認するスコープの名前を入力します。スコープは、アプリでアクセスするユーザー属性 (name や email など) を定義します。Facebook の場合は、コンマで区切る必要があります。Google および Login with Amazon の場合は、スペースで区切って指定します。Sign in with Apple の場合は、アクセスするスコープのチェックボックスをオンにします。

ソーシャル ID プロバイダー	スコープ例
Facebook	`public_profile, email`
Google	`profile email openid`
Login with Amazon	`profile postal_code`
Apple でのサインイン	`email name`

アプリユーザーはこれらの属性をアプリに提供することに同意を求められます。スコープの詳細については、Google、Facebook、Login with Amazon、および Sign in with Apple のドキュメントを参照してください。

以下は、Sign in with Apple の場合にスコープが返らない可能性があるユーザーシナリオです。

エンドユーザーが Apple のサインインページを離れるとエラーが発生する (Cognito の内部障害または開発者が記述したプログラムが原因である可能性があります)
サービス ID 識別子がユーザープールや他の認証サービス全体で使用されている
エンドユーザーが以前にサインインしてから、開発者によってさらにスコープが追加されている (新しい情報は取得されません)
開発者によって削除されたユーザーが Apple ID プロファイルからアプリを削除せずに再度サインインしている

設定するソーシャル ID プロバイダーに対して [有効化] を選択します。
ナビゲーションバーから、[アプリクライアントの設定] を選択します。
ユーザープールアプリの [有効な ID プロバイダ] の 1 つとしてソーシャル ID プロバイダーを選択します。
ユーザープールアプリの [コールバック URL] にコールバック URL を入力します。これは、ユーザーが認証に成功した後でリダイレクトされるページの URL です。
```
https://www.example.com
```
[Save changes] を選択します。
[属性マッピング] タブで、次のように最低でも必須属性 (通常は email) のマッピングを追加します。
1. Facebook、Google、または Amazon の属性名チェックボックスをオンにして選択します。Amazon Cognito コンソールに一覧表示されていない追加属性の名前を入力することもできます。
2. ドロップダウンリストから送信先ユーザープール属性を選択します。
3. [Save changes] を選択します。
4. [Go to summary] を選択します。

前の 2 つのセクションの要素を使用してログイン URL を作成できます。この URL を使用してソーシャル IdP の設定をテストします。



https://<your_user_pool_domain>/login?response_type=code&client_id=<your_client_id>&redirect_uri=https://www.example.com

ドメインは、コンソールにあるユーザープールの [ドメイン名] ページで確認できます。クライアント ID は [アプリクライアントの設定] ページにあります。redirect_uri パラメータのコールバック URL を使用します。これは、ユーザーが認証に成功した後でリダイレクトされるページの URL です。

注記

5 分以内に完了しなかったリクエストはキャンセルされ、ログインページにリダイレクトされた後、Something went wrong エラーメッセージが表示されます。

ステップ 4.SAML ID プロバイダーを使用したサインインをユーザープールに追加する (オプション)

ブラウザで JavaScript が無効になっているか、使用できません。

AWS ドキュメントを使用するには、JavaScript を有効にする必要があります。手順については、使用するブラウザのヘルプページを参照してください。

ドキュメントの表記規則

ステップ 2.アプリケーションを追加して、ホストされたウェブの UI を有効にする

ステップ 4.SAML ID プロバイダーを使用したサインインをユーザープールに追加する (オプション)

ステップ 3.ユーザープールにソーシャルサインインを追加する (オプション)

ステップ 1: ソーシャル IdP に登録する

ステップ 2: ユーザープールにソーシャル IdP を追加する

ステップ 3: ソーシャル IdP の設定をテストする

次のステップ