Cognito idTokenをAPIGW＆Lambdaで受け取ってデコードする

Cognito idTokenをAPI GW＆Lambdaで受け取ってデコードする手順についてのメモ書きです。

やりたいこと

1. Cognitoでログインし、idToken(jwt)を払い出す。
2. 手順１のidTokenを利用し、APIGWで作成された認証必要なAPIを呼び出す。
3. Cognito Authorizerでユーザー認証を行い、バックエンドのLambdaを起動する。
4. Lambdaで手順１のidTokenを受け取り、デコードする（emailなどのユーザー情報を取得する）。

Cognito Userpool

• Userpoolの作成手順は割愛します。

• idTokenの払い出しについて、SDKなどを使うことも可能ですが、今回はホストされたUIを使います。（コールバックURLはいったんlocalhostとします）
  

• あらかじめ登録したユーザーでログインします。
  

• urlからid_tokenの値をメモっておきます。
  

Lambda

レイヤー

レイヤーを作っておきます。今回は「python-jose」というpythonのライブラリを使います。
python-joseをダウンロードし、zip化します。

$ pip3 install python-jose -t python
$ zip -r9 layer.zip python

layer.zipをアップロードしてレイヤーを作成します。

Lambda関数

下記のLambda関数を作成します。

• ランタイム: Python 3.11
• アーキテクチャ: x86_64
• 基本的な Lambda アクセス権限で新しいロールを作成
• レイヤー: 上記手順で作成したレイヤー
• ソースコード（eventのheadersからidTokenを取り出し、デコードしユーザーのemailを取得）:

  import json
  from jose import jwt
  
  def lambda_handler(event, context):
      token = event["headers"]["Authorization"]
      decoded_token = jwt.get_unverified_claims(token)
      email = decoded_token["email"]
      return {
          "statusCode": 200,
          "body": json.dumps(f"Hello, {email}!")
      }
  

APIGW

オーソライザー

下記のオーソライザーを作成します。

• オーソライザーのタイプ: Cognito
• Cognito ユーザープール: 上記手順で作成したCognitoユーザープールを選択
• トークンのソース: Authorization

API

下記のAPIを作成します。

• APIタイプ: REST API
• リソース: /
• メソッド: GET
  • 統合タイプ: Lambda 関数(上記手順で作成したLambdaを選択)
• メソッドリクエスト:
  • 認可: 上記手順で作成したCognitoオーソライザーを選択
• 統合リクエスト:
  • マッピングテンプレート:
    • コンテンツタイプ: application/json

    #set($inputRoot = $input.path('$'))
    {
      "headers": {
        "Authorization": "$input.params().header.get('Authorization')"
      }
    }
    

動作確認

$ curl -H "Authorization: <ログイン時に払い出したidToken>" -X GET <APIエンドポイント>

レスポンス

{"statusCode": 200, "body": "\"Hello, [e-mail]!\""}