#まとめ
- ALB Authentication + Cognitで認証しようとしたら500エラー
- ALBについているセキュリティグループのアウトバウンドに443ポートがなかった
- 443ポートを許可したらうまく行った
#経緯
ElasticBeanstalkのステージング環境にBasic認証的なことをする必要が出てきて、ebextentionに書いたら、間違えて本番環境にもBasic認証かけそうだな…と思い別の方法を探していました。
で、 https://dev.classmethod.jp/cloud/alb-cognito-user-pool/ を見つけて、これでEmailじゃなくusernameを使えばBasic認証っぽくできるじゃん、と思い実践してみることに。
#まず別のALBで試してみた
いきなりステージングにアクセスできなくなると困るので、別のALBを立てて期待通りに動作するか検証した。→結果うまく行った。
#いざステージングへ適用
Cognitのドメイン設定を変えてステージングのALBに適用
→username/passwordを入力！
→500 Internal server error...
#色々思案
- もともとステージングへはセキュリティグループでアクセスできるIPを制限していたので、それがだめなのか？→認証かかっている状態で0.0.0.0を許可したが変化無し。
- Cogentのドメイン設定ミスったか？→合ってそう
- ...わからん
ググってもいい情報が当たらず、色々設定眺めていた結果、セキュリティグループのアウトバウンドに80ポートしか記述が無いことに気づく。
→ElasticBeanstalkで作成されたALBにはこの記載があるみたいです。ターゲットグループのポートだけってことなんでしょう。
#なぜダメなのか考察
（違ってたらご指摘いただけると嬉しいです）
ALBからCognitの方に認証情報を取得する際のリクエストがhttpsなんだと思いました。
別のALBでうまく行っていたのは、ElasticBeanstalkから作ったわけではなく、セキュリティグループもALBと一緒に作ったので（←これが良くなかった…）アウトバウンドに0.0.0.0がいたんですねー。
#対応
ALBのセキュリティグループに443ポートの0.0.0.0を追加してアクセスしたところ、うまく認証が機能しました。めでたしめでたし。
#あとがき
それにしてもALBってHTTPS転送もできたり、かなり便利になりましたね。とても助かります。