常連

タイトル通りなのですが、このような構成で作ろうとしているのですが、先駆者の方々にこういった構成がいいのかご意見が欲しいです。

まずServerless Frameworkを使用して、下記を作成します。
・ApiGateway
・Cognito
・DynamoDB
・Lambda
・S3
必要であれば、serverless.ymlの情報も載せます。


AmplifyはReactをDeployするために使用しています。
通信方式はRestApiで行う予定です。



Q.なぜTypeScript、Graphql(GQL)を使わないのか
A.本当は使いたいのですが、今後のチーム開発を行う際に、学習コストを考えて使用を控えています。

Q.なぜAmplifyのみで開発しないのか
A.以前Amplifyでバックエンドの構築も行っていたのですが、ファイル構造や、S3周りで問題が多発したためServerless Frameworkを使用しています。
それとServerless Frameworkの知見が溜まってきたので使用しています。

Q.なぜサーバーレスで作るのか
A.ミニマムなサービスを複数展開する予定なので、値段面を考えてEC2,ECS,RDSなどの使用を控えています。

ほぼ初のサーバーレス環境の構築なので、無駄な構成でおこなっている可能性があると思いますが、ご教授お願いします。

他に、足りない部分や、聞きたいことがあれば質問してください。



【意見が欲しいです】バックエンド(nodejs)をServerless Framework フロントエンド（React）をAmplifyで作成する

AWS Cognitoを利用したいと考えて試行錯誤しています。
ログイン、ログアウト等の機能は実装できました。

やりたいこととして、
・Cognitoで作成されて認証済みのユーザーが最初のログインから60日経過した
・60日経過後の初めてのログインのときにメールアドレスに確認コードを送る
・確認コードを確認コードを入力する画面で入力して問題なければ、ログイン完了となる

上記のような機能ができないかと考えています。
調べても全然出てこなくて質問させていただきます。

なにか参考になるサイトでもいいためご教示お願い致します。



AWS Cognitoでユーザーがログインしてから60日後の最初のログインで確認コードのメールを送る機能

### 実現したいこと

AWSとRustを使ってサーバーレスアプリケーションを作っています。

最終的には、

 - Cognitoの認証情報を用いてエンドユーザの認証をする
 - 認証情報からLambda関数内でユーザIDを識別する
 - RDSでユーザIDから当該エンドユーザのデータを特定しアクセスする

ようなことがしたいです。

LambdaからコネクションするRDSではMySQLを使います。

エンドユーザは他のエンドユーザが扱うデータは見れないようにします。

このためのアクセスの制御にはユーザIDカラムでフィルタすることで制御するように記述します。

### 前提

認証情報にはAWS Cognitoからエンドユーザに認証されたユーザ情報を使いますが、ひとまず動作するかを確認することが必要なため、ユーザープールにユーザを一人登録しておき、それを利用することにします。

![イメージ説明](https://ddjkaamml8q8x.cloudfront.net/questions/2023-04-28/37d26461-6fd7-498b-9eab-1d758386504d.png)
![イメージ説明](https://ddjkaamml8q8x.cloudfront.net/questions/2023-04-28/4ec099a8-b9ff-4948-83c8-4dc2d37447d4.png)
![イメージ説明](https://ddjkaamml8q8x.cloudfront.net/questions/2023-04-29/4fdde5ea-a0c9-4311-8e10-820f3aa20712.png)

### 発生している問題・エラーメッセージ

セキュリティを考え一部伏せています。また字数の関係上必要のないログは除外しています。

```console
% cargo run
    Finished dev [unoptimized + debuginfo] target(s) in 0.16s
     Running `target/debug/cookie`
2023-04-29T00:04:49.113131Z  INFO cookie: secret_hash: f69a01d94cae7dxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx
2023-04-29T00:04:49.137752Z  INFO cookie: username: 5f5fa04d-0ad9-4fxxxxxxxxxxxxxxxxxxxx
2023-04-29T00:04:49.137757Z  INFO cookie: password: mukwxxxxxxxxxxxxxxxx
2023-04-29T00:04:49.137763Z  INFO cookie: client_id: 5132aixxxxxxxxxxxxxxxxxxxx
2023-04-29T00:04:49.276863Z  WARN cookie: response: Err(ServiceError(ServiceError { source: ResourceNotFoundException(ResourceNotFoundException { message: Some("User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist."), meta: ErrorMetadata { code: Some("ResourceNotFoundException"), message: Some("User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist."), extras: Some({"aws_request_id": "49378c3a-99ee-4exxxxxxxxxxxxxxxxxxxx"}) } }), raw: Response { inner: Response { status: 400, version: HTTP/2.0, headers: {"date": "Sat, 29 Apr 2023 00:04:49 GMT", "content-type": "application/x-amz-json-1.1", "content-length": "110", "x-amzn-requestid": "49378c3a-99ee-4exxxxxxxxxxxxxxxxxxxx", "x-amzn-errortype": "ResourceNotFoundException:", "x-amzn-errormessage": "User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist."}, body: SdkBody { inner: Once(Some(b"{\"__type\":\"ResourceNotFoundException\",\"message\":\"User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist.\"}")), retryable: true } }, properties: SharedPropertyBag(Mutex { data: PropertyBag, poisoned: false, .. }) } }))
Error: service error

Caused by:
    0: ResourceNotFoundException: User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist.
    1: ResourceNotFoundException: User pool client 5132aixxxxxxxxxxxxxxxxxxxx does not exist.
```

### 該当のソースコード

```toml
name = "cookie"
version = "0.1.0"
edition = "2021"

# See more keys and their definitions at https://doc.rust-lang.org/cargo/reference/manifest.html

[dependencies]
anyhow = "1.0.70"
aws-config = "0.55.1"
aws-sdk-cognitoidentityprovider = "0.26.0"
aws_get_secret_value = { git = "https://github.com/kano1101/aws_get_secret_value.git" }
hex = "0.4.3"
hmac = "0.12.1"
jsonwebtoken = "8.3.0"
serde = "1.0.160"
sha2 = "0.10.6"
tokio = { version = "1.28.0", features = ["full"] }
tracing = { version = "0.1", features = ["log"] }
tracing-subscriber = { version = "0.3", default-features = false, features = ["fmt"] }
```

```rust
use jsonwebtoken::{decode, DecodingKey, Validation};

fn get_user_id_from_token(token: &str, secret: &str) -> Option<String> {
    let validation = Validation::default(); // デフォルトの検証オプションを使用

    // トークンの検証とデコード
    match decode::<TokenClaims>(
        token,
        &DecodingKey::from_secret(secret.as_ref()),
        &validation,
    ) {
        Ok(decoded) => Some(decoded.claims.sub), // "sub"属性はCognitoのユーザIDを表す
        Err(_) => None,
    }
}

#[derive(Debug, serde::Deserialize)]
struct TokenClaims {
    sub: String,
    // 他のトークンクレームを必要に応じて追加
}

fn get_secret_hash(
    username: &str,
    secret_key: &str,
    client_id: &str,
    user_pool_id: &str,
) -> anyhow::Result<String> {
    use hmac::{Hmac, Mac};
    use sha2::Sha256;

    let message = format!("{}{}{}", user_pool_id, client_id, username).to_string();
    let message = message.as_bytes();

    // HMAC-SHA256のインスタンスを作成し、秘密のキーを設定する
    let mut hmac =
        Hmac::<Sha256>::new_from_slice(secret_key.as_bytes()).expect("Invalid key length");

    // メッセージをハッシュ化する
    hmac.update(message);

    // ハッシュを取得する
    let result = hmac.finalize();

    // バイト列から16進数文字列に変換する
    let secret_hash = result
        .into_bytes()
        .iter()
        .map(|byte| format!("{:02x}", byte))
        .collect::<String>();
    tracing::info!("secret_hash: {}", secret_hash);

    Ok(secret_hash)
}

use aws_sdk_cognitoidentityprovider as cognitoidentityprovider;

async fn get_id_token(
    username: &str,
    password: &str,
    secret_hash: &str,
    client_id: &str,
) -> anyhow::Result<String> {
    let config = aws_config::load_from_env().await;

    let client = cognitoidentityprovider::Client::new(&config);
    tracing::info!("username: {username}");
    tracing::info!("password: {password}");
    tracing::info!("client_id: {client_id}");

    // Cognitoから発行されたIDトークンを取得する
    let response_builder = client
        .initiate_auth()
        .auth_flow(cognitoidentityprovider::types::AuthFlowType::UserPasswordAuth)
        .auth_parameters("USERNAME".to_string(), username.to_string())
        .auth_parameters("PASSWORD".to_string(), password.to_string())
        .auth_parameters("SECRET_HASH".to_string(), secret_hash.to_string())
        .client_id(client_id.to_string());

    let response = response_builder.send().await;
    tracing::warn!("response: {:?}", response);
    let response = response?;

    // IDトークンを出力する
    let id_token = response
        .authentication_result()
        .ok_or(anyhow::anyhow!("missing authentication result"))?
        .id_token()
        .ok_or(anyhow::anyhow!("missing id token"))?;

    Ok(id_token.to_string())
}

#[tokio::main]
async fn main() -> anyhow::Result<()> {
    tracing_subscriber::fmt::init();

    let secret_value =
        aws_get_secret_value::get_secret_value("ap-northeast-1", "SecretsManager").await?;

    let username = secret_value["COGNITO_USERNAME"]
        .as_str()
        .ok_or(anyhow::anyhow!("fail to get username"))?;

    let password = secret_value["COGNITO_PASSWORD"]
        .as_str()
        .ok_or(anyhow::anyhow!("fail to get password"))?;

    let client_id = secret_value["COGNITO_CLIENT_ID"]
        .as_str()
        .ok_or(anyhow::anyhow!("fail to get client id"))?;

    let user_pool_id = secret_value["USER_POOL_ID"]
        .as_str()
        .ok_or(anyhow::anyhow!(
            "fail to get user pool id from secret value."
        ))?;

    let secret_name = secret_value["APPLICATION_SECRET"]
        .as_str()
        .ok_or(anyhow::anyhow!(
            "fail to get application secret from secret value."
        ))?;

    let secret_hash = &get_secret_hash(username, secret_name, client_id, user_pool_id)?;

    let token = get_id_token(username, password, secret_hash, client_id).await?;

    match get_user_id_from_token(&token, secret_name) {
        Some(user_id) => {
            println!("ユーザID: {}", user_id);
            // ユーザIDを使ってMySQLのデータにアクセスするなどの処理を行う
        }
        None => println!("トークンの検証に失敗しました。"),
    }

    Ok(())
}```

そして、AWS Lambdaの中の処理に、ユーザIDを割り出す様にロジックを記述します。

```rust
async fn get_id_token(username: &str, password: &str, client_id: &str) -> anyhow::Result<String> {
    let config = aws_config::load_from_env().await;
    tracing::info!("環境設定を取得しました。");

    let client = cognitoidentityprovider::Client::new(&config);
    tracing::info!("環境設定からクライアントを取得しました。");

    tracing::info!("次の三つの値をinitiate_auth()のオブジェクトに設定します。");
    tracing::info!("username: {username}");
    tracing::info!("password: {password}");
    tracing::info!("client_id: {client_id}");

    // Cognitoから発行されたIDトークンを取得する
    let response_builder = client
        .initiate_auth()
        .auth_flow(cognitoidentityprovider::types::AuthFlowType::UserPasswordAuth)
        .auth_parameters("USERNAME".to_string(), username.to_string())
        .auth_parameters("PASSWORD".to_string(), password.to_string())
        .client_id(client_id.to_string());
    // .timeout(std::time::Duration::from_secs(4));
    tracing::info!("response builderを構築しました。");
    tracing::warn!("response_builder: {:?}", response_builder);

    let response = response_builder.send().await;
    tracing::info!("レスポンスを送信しました。");
    tracing::warn!("response: {:?}", response);
    let response = response?;
    tracing::info!("レスポンスを解体しました。");

    // IDトークンを出力する
    let id_token = response
        .authentication_result()
        .ok_or(anyhow::anyhow!("missing authentication result"))?
        .id_token()
        .ok_or(anyhow::anyhow!("missing id token"))?;
    tracing::info!("IDトークンを取得しました。");

    Ok(id_token.to_string())
}
```

シークレットハッシュを生成してみようとしましたがうまくいきません。

これを生成する方法、もしくは他に解決方法があればそれを知りたいです。

込み入った内容で恐縮ですが、解決方法をお分かりの方いらっしゃいましたらご教示いただけると幸いです。

よろしくお願いいたします。


### 補足情報（FW/ツールのバージョンなど）

OSはmacOSです。

```console
cargo --version
cargo 1.65.0 (4bc8f24d3 2022-10-20)
```

【Rust】AWS LambdaでCognitoの認証情報からユーザIDを割り出しMySQLで利用したいがシークレットハッシュが生成できない

Cognitoを使ったMFA（TOTP認証）の時、ワンタイムパスワードを複数回間違えるとアカウントロックがかかったり入力を制限するような機能はありますか？
サポートからは「MFAでロックアウトは提供していない」との回答をもらったのですが、それだと無限にトライできてしまうと思い対応に悩んでいます。
よろしくお願いいたします。

AWS CognitoのMFAでワンタイムパスワードの入力回数を制限できますか？

### 実現したいこと

localstorageに保存されたcognitoのtokenをjsで取得したい

localstorageに保存されたcognitoのtokenをjsで取得したい

### 実現したいこと

サインイン前にリフレッシュトークン（更新トークン）の有効期限を取得して、
有効期限が切れていたらログインできないような実装を考えています。

ログイン機能は実装できたのですが、
サインイン前にリフレッシュトークンの有効期限が切れているかどうか調べる方法が分からないです。
なにかアドバイスいただけると幸いです。




AWS Cognito でサインイン前にリフレッシュトークンの有効期限を取得する方法が知りたい

### Cognitoを利用して、s3へのアクセスを許可する方法

webアプリの画面をスマホアプリ上で表示しようとしています。いわゆるガワネイティブです。
本体のwebアプリはS3上にアップロード済みです。
データベースを触るプログラムをjsで書いているので、パブリックアクセスはさせていません。

**ここで実現したいことは表題の通り「Cognitoを利用して、s3へのアクセスを許可」することです。**

現在スマホアプリのログインにcognitoを利用しています。
その情報を使って「スマホアプリのログインをしたユーザーのみ、スマホからwebviewで表示したwebアプリを使用できる」ようにしたいと思っています。
そういったことは可能なのでしょうか？

また可能でしたら概要だけでも教えていただけたらと思います。
[この公式サイト](https://docs.aws.amazon.com/ja_jp/IAM/latest/UserGuide/reference_policies_examples_s3_cognito-bucket.html)を参考にIAMロールを編集したりもしたのですが、うまくいきませんでした。

補足
----

yu_1985さん

コメントありがとうございます。

具体的に行ったこととして、iam(authとunauth)にs3へのアクセス権を追記しました。
お送りいただいたサイトでいうところの下記部分です。
https://dev.classmethod.jp/articles/get-aws-temporary-security-credentials-with-cognito-id-pool-by-aws-cli/#toc-3

以下のようなポリシーをiam(authとunauth)に追加しています。
```
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "VisualEditor0",
            "Effect": "Allow",
            "Action": [
                "s3:PutObject",
                "s3:GetObject",
                "s3:ListBucket",
                "s3:DeleteObject"
            ],
            "Resource": [
                "arn:aws:s3:::hogehogebucket/index.html",
                "arn:aws:s3:::hogehogebucket"
            ]
        }
    ]
}
```

これでアクセスできるはずなのですが、なぜかAccessDenyとなってしまいます。


Cognitoを利用して、s3へのアクセスを許可する方法

### 前提
jmeterにてcognitoの認証画面を突破する処理を現在作成しています。
認証時にpostで送るパラメータの中にcognitoasfDataというものがあり、こちらが
https://docs.aws.amazon.com/ja_jp/cognito/latest/developerguide/user-pool-settings-viewing-advanced-security-app.html
上記URL内の<script src=**>で読み込み、AmazonCognitoAdvancedSecurityData.getDataファンクションを実行することで取得していることがわかりました。
こちらを実行する方法が思いつかずご教授いただけないでしょうか

### 実現したいこと
現在考えているものとして
1.1 ログイン画面の表示(サイトへのgetリクエスト)
1.2 csrf等の必要パラメータの取得←ここまで完成
2.1 AmazonCognitoAdvancedSecurityData.getDataを取得するjavascriptをJSR223 Assertionにて作成
2.2 postにて上記で取得したパラメータ＋login_id passwordを送りログイン

上記工程での実装を考えているのですが、htmlの<script src="https://amazon-cognito-assets.<region>.amazoncognito.com/amazon-cognito-advanced-security-data.min.js"></script>
のようなネット上の外部ファイルを取り込む処理を、javascriptのみでどのように実装すればいいかがわからず詰まっております。

また、取得したログイン画面のhtml内に埋め込まれているjavascriptをログイン処理時に実行する方法等ございましたらご教授いただきたいです。

### 発生している問題・エラーメッセージ
asfdataを適当にした場合のエラーが以下になります。
405のため必要なパラメータの種類としてはあっており、こちらが解決できれば成功になると思われます。
```
Response code:405
Response message:Method Not Allowed
```



### 該当のソースコード
ログイン画面のhtmlに埋め込まれているasfdataを取得していると思われる処理
```ここに言語名を入力
  var asfData = AmazonCognitoAdvancedSecurityData.getData(username, userPoolId, clientId);
    if (typeof asfData === "undefined") {
        return true;
    }

    if (formReference && formReference.cognitoAsfData) {
        formReference.cognitoAsfData.value = asfData
    }
```

### 試したこと

ネット上のjsファイルの中身を全てコピペし、最後に取得コマンドを追加し、実行した
結果
```
javax.script.ScriptException: <eval>:27:16164 Expected comma but found ident
```

### 補足情報（FW/ツールのバージョンなど）

ここにより詳細な情報を記載してください。


Amazon Cognito