AWS SDK for Javaを使用してIDプールにアクセスする際の認証情報の取得方法

実現したいこと

Cognitoによる認証が施されたWebアプリにて、S3やRDSにアクセス可能なログインユーザの場合は、Cognitoから認可を受けて各種サービスに対して操作を行う画面を作成したいです。

発生している問題

IDプールに接続するために必要な「AmazonCognitoIdentity」を生成するために、「アクセスキー」および「シークレットキー」を用意する必要があるのですが、どのようにログイン情報から取得するのかわからず、手が止まっています。

該当のソースコード

AWSCredentials credentials = new BasicAWSCredentials("アクセスキー","シークレットキー");
AmazonCognitoIdentity idPoolClient =  AmazonCognitoIdentityClientBuilder.standard()
        .withCredentials(new AWSStaticCredentialsProvider(credentials))
        .withRegion(Regions.AP_NORTHEAST_1)
        .build();

補足情報（FW/ツールのバージョンなど）

プログラム言語：Java
SDK：AWS SDK for Java

行動規範の内容に同意します

回答1件

ベストアンサー

ログイン情報から取得する必要がない情報ではないでしょうか。

idPoolClientに必要なのはあくまでJavaのアプリケーションがCognitoにアクセスするために必要な権限をAWSから受け取るためのcredentialであって、ログインユーザに何も紐付かないものだと思います。
なので、通常通りサーバ上でキーを渡せばよいかと。

さらに言うと、EC2インスタンス（を含む、AWSのサービス上）で動かしているのならキーを渡す必要すらないです。
EC2インスタンスにIAMロールを設定しておけば、cliなり各種SDKなりは何もcredential情報が設定されていない場合はロールから権限を受け取ってその権限を使用する挙動になります。
下記ドキュメントの「インスタンスプロファイル認証情報」がそれにあたります。
デフォルトの認証情報プロバイダチェーンの使用

EC2インスタンスに限らずAWS上でプログラムを動かす場合はキーを使わずにロールで権限を渡すことを推奨し、どうしても必要なとき以外はキーを発行しないことを推奨します。
参考
長期のアクセスキーの代わりに一時的なセキュリティ認証情報 (IAM ロール) を使用する

投稿2021/01/15 03:03