[AWS] Amazon Cognito 이용하여 Amazon API Gateway에 인증(Authentication) 추가하기

Amazon Cognito?

Amazon Cognito user pools

User pool이 제공하는 것

• Sign-up and sign-in services.
• A built-in, customizable web UI to sign in users.
• Social sign-in with Facebook, Google, Login with Amazon, and Sign in with Apple, as well as sign-in with SAML identity providers from your user pool.
• User directory management and user profiles.
• Security features such as multi-factor authentication (MFA), checks for compromised credentials, account takeover protection, and phone and email verification.
• Customized workflows and user migration through AWS Lambda triggers.

Cognito Token 이용하기

출처: AWS Document (아래 링크)

유저가 로그인에 성공하면, Cognito는 세션을 생성하고 인증된 사용자에게 ID token, access token, refersh token을 리턴한다. 토큰은 API Gateway나 자체 구성된 server-side 리소스에 인증 목적으로 사용할 수 있다. Cognito Identity Pool을 이용해서 이 토큰들을 API Gateway가 아닌 AWS 서비스에 접근하기 위해 임시 AWS credentials으로 바꿀 수도 있다.

종류

• ID token(자격 증명 토큰): 로그인한 사용자의 자격 증명 클레임을 기반으로 API 호출 권한을 부여하는 데 사용된다.
• Access token(액세스 토큰): 지정된 액세스 보호 리소스의 사용자 지정 범위를 기반으로 API 호출 권한을 부여하는 데 사용된다.
• Refresh token(리프레시 토큰): 신규 ID/액세스 토큰을 발급받는다. 리프레시 토큰의 default 만료 기간은 30일이며, 60분~10년 사이로 설정 가능하다.

특징

• Cognito에서 발행하는 토큰은 클레임 기반의 토큰이다. Access/ID 토큰은 모두 cognito:groups라는 클레임을 포함한다.
  • token: 유저를 인증하고, 리소스에 접근을 허용한다.
  • claim: 토큰에 포함된 유저 관련 정보. 주체가 무엇인지 표현하는 이름과 값의 쌍.
• Cognito는 Base64 인코딩 된 string 값으로 토큰 발행한다. Cognito ID 또는 access token을 Base64로부터 plaintext JSON으로 디코딩 가능하다.
• refresh token은 암호화되었으며 Cognito administrator나 유저로부터 읽힐 수 없다.

---

 

 

🌎 As-Is Architecture

As-Is Architecture

EC2에 API Server가 구성되어 있고 사용자들은 앞단의 API Gateway를 통해 애플리케이션에 접근하는 형태로, API Gateway는 REST API로 구성되었다. API Gateway에서 REST API가 아닌 경우 Cognito를 이용한 인증이 불가능하다.

 

☄️ To-Be Architecture

To-Be Architecture

• 인증(Authentication): API를 호출하는 클라이언트에 대한 Identity(신분)을 확인해 주는 기능
• 인가(Authorization): 클라이언트가 API를 호출할 수 있는 권한이 있는지 확인해주는 기능

해당 포스팅에서는 권한 부여(인가) 없이 단순히 Cognito 사용자 풀을 이용한 “인증”만을 추가해보도록 하자.

Cognito User Pool을 생성하고 User Pool에 등록된 사용자인 경우, API Gateway를 통해 API를 호출이 가능하도록 구성해 보자.

 

 

 

1. Cognito User Pool 생성

[Authentication Provider]

• provider type: cognito user pool
• cognito user pool sign-in options
  • 유저가 로그인할 때 사용 가능한 속성 선택
  • user pool 생성 후 옵션 변경 불가능

[Security Requirements]

• Password policy : 비밀번호 정책
• Multi-factor authentication : 로그인 과정에서 MFA 사용 여부
• User account recovery : 유저가 비밀번호를 잊은 경우 계정 복구 방법

[Sign-up experience]

• Self-service sign-up : 유저 회원가입 가능 여부
• Attribute verification and user account confirmation: 사용자 확인(attribute verification/user pool administrator confirmation). 확인된 attribute만 로그인, 계정 복구, MFA에 사용 가능.
• Required attributes : 신규 유저 생성 시 필요로 하는 속성. OIDC 표준에서 가져온 표준 속성.

[Configure message delivery]

• Email/SMS : 유저에게 전송할 email/SMS message 발송 방식 선택

[Integrate your app]

⇒ (참고) AWS Docs: Setting up the hosted UI with the Amazon Cognito console

• User pool name : user pool 생성 후 변경 불가능
• Hosted authentication pages
  • Cognito Hosted UI는 OAuth 2.0 호환 인증 서버를 제공한다.
  • Hosted UI 구성 시, 아래와 같은 sign up, sign in 가능한 웹페이지가 제공된다. 해당 웹페이지는 커스터마이징 가능.
  • Domain : Hosted UI와 OAuth 2.0 엔드포인트를 위한 도메인. Hosted UI를 사용하기 위해서는 인증 엔드포인트가 생성되는 도메인을 반드시 선택해야만 한다.

Hosted UI 기본 Sign-in 페이지

Hosted UI 기본 Sign-up 페이지

• Initial app client
  • 인증되지 않은 API 작업(sign-up, sing-in, 암호 찾기 등)을 호출할 수 있는 권한을 가진 사용자 풀의 단일 앱 플랫폼. 사용자 풀에는 여러 개의 앱 클라이언트가 있을 수 있다.
  • Advanced app client settings에서 이전에 선택한 내용을 기반으로 authentication flow, OAuth 2.0 grant type 및 OIDC scope 등을 선택할 수 있다.
  • 본 포스팅에서는 토큰을 직접 리턴 받기 위해 OAuth 2.0 grant types에서 Implicit grant(암시적 부여)를 추가한다. Implicit grant를 선택하면 토큰에 대한 인증 코드를 교환할 수 없는 백엔드가 없는 경우 및 토큰 디버깅에 유용하다.

Amazon Cognito 콘솔 > User Pool 생성 > Advanced app client settings

 

2. API Gateway REST API와 Amazon Cognito 사용자 풀 통합

2-1. Authroizer 생성

AWS API Gateway 콘솔 > REST API > Authroizers

API Gateway 콘솔에서 1에서 생성한 Cognito User Pool를 이용한 Authroizer를 생성한다.

2-2. Method에 Authorizer 적용

인증이 필요한 메서드 > Method Request > Settings > Authroization에서 2-1에서 생성한 authroizer를 적용한다.

 

 

3. 테스트

3-0. 인증 토큰 없이 API 호출

Postman을 이용해 API를 호출하였다. 인증 토큰 없이 호출하여 401 Unauthorized를 응답받았다.

3-1. Access Token 발급

Hosted UI를 통해 Sign-up 과정을 수행한다. 구성한대로 사용자 인증 과정(위 그림에서는 이메일 인증)을 거쳐 정상적으로 등록에 성공하면 Amazon Cognito 콘솔에서 위와 같이 유저 목록을 확인할 수 있다.

본 포스팅에서는 토큰에 대한 인증 코드를 교환할 수 있는 백엔드가 없기 때문에 Hosted UI 구성 시 OAuth gran type에 implicit grant를 추가하였다.

https://<your_domain>/login?response_type=token&client_id=<your_app_client_id>&redirect_uri=<your_callback_url>

위 URL을 사용하여 Hosted UI 웹페이지에서 로그인에 성공하면, Cognito는 아래와 같이 유저 풀 토큰을 웹 브라우저 주소창을 통해 리턴한다.

<https://www.example.com/#id_token=123456789tokens123456789&expires_in=3600&token_type=Bearer>

정상적으로 리턴되지 않는 경우, 아래 두 가지 사항을 확인하자.

1. Hosted UI 웹페이지 로그인 URL에 response_type=token 포함된 상태에서 로그인을 수행했는지.
2. 암묵적 코드 부여가 활성화되어 있는지.

3-2. Request Header에 인증 토큰을 포함하여 API 호출

Header의 Key에 Authorization, Value에는 3-1에서 리턴 받은 id token을 이용하자. 아래와 같이 정상적으로 200을 리턴한다.

 

 

 

API Gateway를 이용한 Cognito User Pool 겉핥기 성공~!

 

---

🔗 참고 링크

1. AWS Docs: What is Amazon Cognito?
2. AWS Docs: Using tokens with user pools
3. AWS Docs: Amazon Cognito 사용자 풀을 권한 부여자로 사용하여 REST API에 대한 액세스 제어
4. 기술 블로그: OpenID(OIDC) 개념과 동작원리
5. AWS Docs: Using the Amazon Cognito hosted UI for sign-up and sign-in
6. 기술 블로그: MSA 아키텍쳐 구현을 위한 API 게이트웨이의 이해 (API GATEWAY)