Cognitoのカスタム認証とAmazon Rekognitionで顔認証をやってみた！

Transcript

1. Cognitoのカスタム認証と Amazon Rekognitionで 顔認証をやってみた！ 2026/09/25 ささやん
2. 自己紹介 ささやん（佐々谷 厚生） ・3年目 ・バックエンドエンジニア、AI開発推進 ・2026 Japan AWS Jr.Champions
3. 話すこと ・カスタム認証3兄弟の役割 ・独自認証を追加する方法 ・顔認証の検証 話さないこと ・Lambdaトリガーの詳細 ・ Amazon Rekognitionの詳細 ・詳細な実装フロー ※イメージです
4. Cognitoの標準認証について できること 難しいこと ・ID＋パスワードの検証 ・独自認証方式の追加 ・MFA（SMS/Email/TOTP） 例えば、、、 ・Passkey / WebAuthn ・トークン発行 https://escape.tech/blog/more-support-for-complex-authentication-flows-totp-mfa-and-text-based-captcha/ https://apptopi.jp/2021/03/30/apple-question/
5. そこでLambdaトリガー Cognitoの認証処理タイミングでLambdaを自動実行し、 標準の認証処理をカスタマイズする仕組み 情報渡すんで、、 支援してほしいっす うい
6. Lambdaトリガー一覧 トリガー名 Pre sign-up Post confirmation Pre authentication Post authentication Define auth challenge Create auth challenge Verify auth challenge response Pre token generation User migration Custom message Custom email sender Custom SMS sender Inbound federation 概要 ユーザー登録の直前に、登録可否の判定や自動確認を行う ユーザー登録やパスワードリセットの確認完了後に処理を行う 認証処理の直前に、ログイン可否を判定する 認証成功後に、ログ記録や外部システム連携を行う カスタム認証で、次に実行する認証チャレンジを決定する カスタム認証で、質問や認証コードなどのチャレンジを生成する カスタム認証で、ユーザーの回答が正しいか判定する トークン発行前に、ID・アクセストークンのクレームを編集する ログイン時などに、既存のユーザー管理基盤からユーザーを移行する Cognitoが送信するメールやSMSの件名・本文を変更する Cognitoの代わりに、Lambdaからメールを送信する Cognitoの代わりに、LambdaからSMSを送信する 外部IdPから受け取ったユーザー属性を、Cognitoへの反映前に変換する
7. Lambdaトリガー一覧 トリガー名 Pre sign-up Post confirmation Pre authentication Post authentication Define auth challenge Create auth challenge Verify auth challenge response Pre token generation User migration Custom message Custom email sender Custom SMS sender Inbound federation 概要 ユーザー登録の直前に、登録可否の判定や自動確認を行う カスタム認証3兄弟 ユーザー登録やパスワードリセットの確認完了後に処理を行う 認証処理の直前に、ログイン可否を判定する 認証成功後に、ログ記録や外部システム連携を行う カスタム認証で、次に実行する認証チャレンジを決定する カスタム認証で、質問や認証コードなどのチャレンジを生成する カスタム認証で、ユーザーの回答が正しいか判定する トークン発行前に、ID・アクセストークンのクレームを編集する ログイン時などに、既存のユーザー管理基盤からユーザーを移行する Cognitoが送信するメールやSMSの件名・本文を変更する Cognitoの代わりに、Lambdaからメールを送信する Cognitoの代わりに、LambdaからSMSを送信する 外部IdPから受け取ったユーザー属性を、Cognitoへの反映前に変換する
8. Lambdaトリガーとは
9. カスタム認証3兄弟について Cognitoの認証フローに独自認証を組み込む Define auth challenge Create auth challenge Verify auth challenge response →認証状況の管理 →独自認証の作成 →独自認証の回答・結果 ・現在の認証状況をス ・外部APIの呼出し テータスで管理 ・トークン発行の許可・ 拒否 ・秘密の質問の作成 ・生体認証のためのセッ ション作成 を検証 ・回答の突合 ・認証結果の判定
10. 生体認証（顔認証） 構成図
11. 顔認証の大まかなフロー 登録時 ログイン時
12. 注意点➀ ログイン前にAWSリソースにアクセスする場合、 Cognito Identity Poolの連携が必要。 必要最小限の権限のみ付与する。
13. 注意点② Lambdaトリガーを用いた認証を行う場合、カスタム認証フローを使用する設定 にする。 誤った設定をすると、カスタム認証を通過せずログインできる場合もある。
14. まとめ ・Lambdaトリガーのカスタム認証で独自認証ができる ・Define / Create / Verify の3兄弟で独自認証の 「管理・生成・検証」を分担 ・Amazon Rekognitionを組み合わせて、 顔認証機能がない端末でも生体認証が可能