[AWS] AWS Cognito와 OAuth

 

AWS Cognito란 ?

웹 및 모바일 앱을 위한 자격 증명 플랫폼으로 사용자 인증, 권한 부여, 사용자 관리 기능을 쉽게 추가할 수 있게 해준다.
현재 팀에서는 OAuth2.0 access token 및 자격 증명에 대한 권한 부여 서비스를 제공하기 위해 사용하고 있다.

 

학부생 시절에 프로젝트를 했을 때는 Spring Security를 사용해 직접 JWT를 발급하고 관리했다. 

AuthenticationManager 또는 UserDetailsService를 통해 사용자의 자격 증명을 확인하고,
인증 성공 시 서버가 JWT를 생성하여 클라이언트에게 반환하는 방식으로 말이다. 

 

하지만 실무에서는 AWS Cognito를 사용해 JWT를 발급받고 관리하고 있다. 

JWT 생성 및 검증 로직을 구현해야하고, 보안 관련 구성도 수동으로 관리해야하는 것에 비해
AWS에서 제공하는 보안 기능을 그대로 활용할 수 있기 때문이다 !

 

🌟 즉, 복잡한 인증 과정을 간소화하고 AWS의 다양한 서비스와 통합하여 쉽게 사용 가능 !

---

AWS Cognito는 사용자 풀, 자격 증명 풀 이렇게 두 가지 컴포넌트로 구성되어 있다. 

팀에서는 사용자 풀을 사용하고 있기 때문에 우선 사용자 풀에 대해서만 정리하겠다.  

 

 

OAuth (Open Authorization) 란 ?

수석님께서 OAuth가 뭔지 아냐고 여쭤보셨을 때..
"인증할 때 사용하는 건데.. 소셜로그인 구현할 때 접해봤습니다 !" 라고만 대답했을 뿐 개념에 대해 자신있게 말하기 어려웠다 ;

 

OAuth 개념 참고 블로그

위의 블로그가 OAuth에 대해 자세하고 이해하기 쉽게 정리를 해주셨다. 

개념은 이것을 참고하고, OAuth와 Cognito간의 관계에 대해 정리하겠다 !

---

OAuth는 사용자 인증과 권한 부여를 위한 강력한 프로토콜이며, Amazon Cognito는 이를 사용하여 사용자의 인증과 데이터를 관리하는 서비스를 제공한다.

 

✳️ Cognito에서 OAuth 사용 방법 

• User Pool 설정
  • 사용자 등록, 로그인, 비밀번호 재설정 등을 관리
• App Client 생성
  • User Pool 내에 App Client를 생성하여 OAuth 2.0을 지원하는 클라이언트를 정의
  • 현재 실무에서 사용하는 것을 예로 들면 IoT 기기의 기업과 차량 기업 등..
  • 이 클라이언트는 리소스 서버와 통신할 수 있는 clientId 및 secret을 가짐

• 인증 플로우
  • 일반적으로 Authorization Code Grant Flow를 사용하여 사용하여 사용자를 인증하고 인가코드를 발급받음
  • 이를 사용하여 access token 및 ID token 요청
• Access token 및 ID token
  • 사용자가 인증에 성공하면 Cognito는 클라이언트에게 액세스 토큰과 ID 토큰을 발급함
  • 이 토큰을 사용하여 리소스 서버에 요청을 보냄
• API Gateway와 통합
  • Cognito는 AWS API Gateway와 통합되어 보호된 API에 대한 접근 제어 가능
  • API Gateway는 Cognito에서 발급된 토큰을 검증하여 사용자 요청을 승인함 

access token에서 OAuth 2.0 범위를 사용하여 REST API에 접근하는 어플리케이션

 

---

✴️ 예시 

1. 사용자가 로그인 : 사용자가 클라이언트 어플리케이션에 "로그인" 버튼을 클릭
2. 인가 요청 : 클라이언트는 Cognito의 로그인 페이지로 사용자를 redirection
3. 인가 승인 : 사용자가 자격 증명을 입력하고 승인하면 Cognito는 인가코드를 클라이언트로 redirection
4. 토큰 요청 : 클라이언트는 인가 코드를 사용하여 Cognito로부터 access token과 ID token을 요청함
5. API 접근 : 클라이언트는 access token을 사용하여 보호된 API에 요청을 보냄

 

 

사용자 풀

사용자 등록과 로그인 및 관리 기능 제공

• 사용자를 인증하고 앱 또는 API에 권한을 부여하려는 경우 사용자 풀 생성 
• 사용자 풀에서 인증된 JWT을 앱, 웹 서버 또는 API에 직접 발급 가능
• 사용자 속성(이메일, 전화번호 등)을 관리하고 이를 어플리케이션과 연동 가능

---

✳️ 제공하는 기능 

• API 권한 부여 서버
  • 액세스 토큰을 발급하여 OAuth 2.0 권한 부여 범위를 허용하는 API, 데이터베이스 및 기타 리소스에 대한 사용자 액세스 권한 부여
• OIDC IdP 
  • 앱 사용자를 인증하기 위한 OIDC ID 토큰 발급
• OIDC SP(Service Provider)
  • OIDC 프로토콜을 사용하여 인증 및 사용자 정보 접근을 제공하는 클라이언트 어플리케이션 또는 서비스
    
    

🌟 OIDC (OpenID Connect) 란 ?

👉OAuth 2.0 프로토콜 위에서 구축된 인증 프로토콜로, 사용자 인증을 안전하게 처리하고 사용자에 대한 정보(프로필)를 제공하는 표준

- OAuth 2.0은 주로 권한 부여에 집중 & 사용자 대신 특정 자원에 접근할 권한 요청하고 액세스 토큰 발급받음
- OIDC는 인증에 중점 & 사용자가 누구인지 확인하고 인증 정보 전달
- OIDC는 OAuth 2.0의 액세스 토큰 외에도 ID 토큰 개념 도입
👉 ID 토큰은 사용자가 인증되었음을 증명하는 JWT

 

 

인증 작동 방식

 

1️⃣사용자 자격 증명 입력 (app client에서)

• 사용자가 App client에서 아이디/비밀번호 또는 소셜로그인을 통해 자격 증명을 입력

2️⃣ App client에서 cognito로 자격 증명 전송

• App client는 사용자가 입력한 자격 증명을 AWS Cognito로 전달
• Authorization Code Flow 또는 Resource Owner Password Flow 같은 OAuth 2.0 인증 플로우 사용

3️⃣ Cognito의 사용자 인증 

• 사용자가 제공한 자격 증명(이메일, 비밀번호 등)을 Cognito User Pool의 사용자 데이터베이스와 비교하여 인증 여부 확인

4️⃣ 토큰 발급

• 사용자가 성공적으로 인증되면 Cognito는 3개의 토큰 발급
  • ID token : 사용자의 신원정보(사용자명, 이메일 등)를 포함하며 어플리케이션에서 사용자를 식별하는 데 사용됨 👉 JWT 형식으로 제공됨
  • access token : 보호된 리소스에 대한 액세스 권한을 부여하는 데 사용됨 👉 Cognito에서 제공하는 사용자 프로필 API에 접근할 때 필요
  • refresh token : access token이 만료되었을 때 새롭게 발급받기 위해 사용됨

5️⃣ 어플리케이션이 토큰을 이용해 사용자 세션 관리

• 발급된 ID 토큰을 사용하여 사용자의 인증 상태 유지하고 필요에 따라 access token을 사용해 보호된 API에 접근
• refresh 토큰을 사용해 재인증

 

 

 

 

 

 

Cognito와 관련된 여러 인터페이스와 클래스

✳️ CognitoIdentityProviderAsyncClient

• Amazon Cognito Identity Provider (Cognito) 서비스에 비동기적으로 접근할 수 있도록 제공하는 클라이언트 클래스
• Cognito User Pool과 관련된 작업 수행할 때 사용됨
• 사용자 등록, 로그인, 인증 토큰 검증 등을 비동기로 처리

---

✴️ adminInitiateAuth 

• 관리자가 사용자 인증 시작 (로그인)

import software.amazon.awssdk.services.cognitoidentityprovider.CognitoIdentityProviderClient;
import software.amazon.awssdk.services.cognitoidentityprovider.model.AdminInitiateAuthRequest;
import software.amazon.awssdk.services.cognitoidentityprovider.model.AdminInitiateAuthResponse;
import software.amazon.awssdk.services.cognitoidentityprovider.model.AuthFlowType;
import software.amazon.awssdk.services.cognitoidentityprovider.model.CognitoIdentityProviderException;

import java.util.HashMap;
import java.util.Map;

public class CognitoAuthExample {

    public static void main(String[] args) {
        String userPoolId = "YOUR_USER_POOL_ID";     // 사용자 풀 ID
        String clientId = "YOUR_APP_CLIENT_ID";       // 앱 클라이언트 ID
        String username = "YOUR_USERNAME";            // 사용자 이름
        String password = "YOUR_PASSWORD";            // 사용자 비밀번호

        CognitoIdentityProviderClient cognitoClient = CognitoIdentityProviderClient.builder().build();

        try {
            // 인증 파라미터 설정
            Map<String, String> authParams = new HashMap<>();
            authParams.put("USERNAME", username);
            authParams.put("PASSWORD", password);

            // 요청 생성
            AdminInitiateAuthRequest authRequest = AdminInitiateAuthRequest.builder()
                    .userPoolId(userPoolId)
                    .clientId(clientId)
                    .authFlow(AuthFlowType.ADMIN_NO_SRP_AUTH) // AUTH_FLOW 타입 지정
                    .authParameters(authParams)
                    .build();

            // 인증 요청 실행
            AdminInitiateAuthResponse authResponse = cognitoClient.adminInitiateAuth(authRequest);

            // 결과 처리
            System.out.println("Authentication successful!");
            System.out.println("ID Token: " + authResponse.authenticationResult().idToken());
            System.out.println("Access Token: " + authResponse.authenticationResult().accessToken());
            System.out.println("Refresh Token: " + authResponse.authenticationResult().refreshToken());

        } catch (CognitoIdentityProviderException

 

✴️ adminUserGlobalSignOut

• Amazon Cognito의 관리자가 특정 사용자의 모든 기기에서 로그아웃 처리할 수 있도록 지원하는 메서드

import software.amazon.awssdk.services.cognitoidentityprovider.CognitoIdentityProviderClient;
import software.amazon.awssdk.services.cognitoidentityprovider.model.AdminUserGlobalSignOutRequest;
import software.amazon.awssdk.services.cognitoidentityprovider.model.AdminUserGlobalSignOutResponse;

CognitoIdentityProviderClient cognitoClient = CognitoIdentityProviderClient.builder().build();

AdminUserGlobalSignOutRequest request = AdminUserGlobalSignOutRequest.builder()
        .userPoolId("USER_POOL_ID") // Cognito User Pool ID
        .username("USERNAME")        // 대상 사용자 이름
        .build();

AdminUserGlobalSignOutResponse response = cognitoClient.adminUserGlobalSignOut(request);

System.out.println("Global sign-out successful: " + response.toString());

 

 

✴️ AdminInitiateAuthResponse

• adminInitiateAuth 메서드 호출 후 반한되는 응답 객체로 사용자 인증 요청의 결과 포함 
• 사용자가 성공적으로 인증되었을 때 반환되는 인증 토큰과 관련 정보 포함됨

AdminInitiateAuthResponse authResponse = cognitoClient.adminInitiateAuth(authRequest);

if (authResponse.authenticationResult() != null) {
    // 인증 성공 시 토큰 정보
    System.out.println("ID Token: " + authResponse.authenticationResult().idToken());
    System.out.println("Access Token: " + authResponse.authenticationResult().accessToken());
    System.out.println("Refresh Token: " + authResponse.authenticationResult().refreshToken());
} else if (authResponse.challengeName() != null) {
    // 추가 인증 단계 필요 시
    System.out.println("Challenge Name: " + authResponse.challengeName());
    System.out.println("Challenge Parameters: " + authResponse.challengeParameters());
}

 

✴️ respondToAuthChallenge

• Amazon Cognito에서 추가 인증 단계 (ex.MFA) 등의 챌린지 등에 대한 응답을 제공하기 위해 사용하는 메서드

import software.amazon.awssdk.services.cognitoidentityprovider.CognitoIdentityProviderClient;
import software.amazon.awssdk.services.cognitoidentityprovider.model.RespondToAuthChallengeRequest;
import software.amazon.awssdk.services.cognitoidentityprovider.model.RespondToAuthChallengeResponse;
import software.amazon.awssdk.services.cognitoidentityprovider.model.CognitoIdentityProviderException;

import java.util.HashMap;
import java.util.Map;

public class CognitoChallengeResponseExample {

    public static void main(String[] args) {
        String clientId = "YOUR_APP_CLIENT_ID";      // 앱 클라이언트 ID
        String session = "YOUR_SESSION_TOKEN";       // 초기 인증의 세션 토큰
        String username = "YOUR_USERNAME";           // 사용자 이름
        String mfaCode = "YOUR_MFA_CODE";            // SMS 또는 소프트웨어 MFA 코드

        CognitoIdentityProviderClient cognitoClient = CognitoIdentityProviderClient.builder().build();

        try {
            // 챌린지 응답 매핑
            Map<String, String> challengeResponses = new HashMap<>();
            challengeResponses.put("USERNAME", username);
            challengeResponses.put("SMS_MFA_CODE", mfaCode);  // MFA 코드 추가

            // 요청 생성
            RespondToAuthChallengeRequest challengeRequest = RespondToAuthChallengeRequest.builder()
                    .clientId(clientId)
                    .challengeName("SMS_MFA")      // 챌린지 이름
                    .session(session)              // 세션 토큰
                    .challengeResponses(challengeResponses)
                    .build();

            // 응답 실행
            RespondToAuthChallengeResponse challengeResponse = cognitoClient.respondToAuthChallenge(challengeRequest);

            System.out.println("Challenge response successful!");
            System.out.println("Access Token: " + challengeResponse.authenticationResult().accessToken());

        } catch (CognitoIdentityProviderException e) {
            System.err.println("Challenge response failed: " + e.awsErrorDetails().errorMessage());
        } finally {
            cognitoClient.close();
        }
    }
}

 

 

 

 

 

 

 

 

 

참고자료 

https://inpa.tistory.com/entry/WEB-%F0%9F%93%9A-OAuth-20-%EA%B0%9C%EB%85%90-%F0%9F%92%AF-%EC%A0%95%EB%A6%AC

https://docs.aws.amazon.com/ko_kr/cognito/latest/developerguide/what-is-amazon-cognito.html