Cognitoへの移行

お客様のアプリケーションでユーザー名が不要の場合は、ユーザーにユーザー名を指定するように求める必要はありません。アプリでユーザー用の一意のユーザー名をバックグラウンドで作成できます。  
username はユーザープール内で一意である必要があります。username は再利用できますが、削除されて使用されなくなった場合のみです。

またcognitoのユーザープールを作成する際にサインインオプションとしてusernameとemailを必須にすると、usernameが固有な代わりに同じemailで複数のユーザーが登録できてしまい、想定する仕様(emailがunique)と異なるのでやめました。
ただcognitoでの(フォーム経由の)登録とソーシャルIdPからの登録が同じemailだった場合、それは重複してしまうようです。

どのトークンをバックエンドの認証に使うのか

cognitoから渡されるトークンはaccessToken, idToken, refreshTokenの３種類。
もちろんaccessTokenだろ！と思ってたのですが、それぞれの役割やpayloadを見てみると、IDトークンを使うのが正しそうです。

IDトークン：連携サービスの認証（例：API Gateway）と認証されたユーザー情報の参照
アクセストークン：Cognitoユーザープールのユーザー属性更新
更新トークン：新しいIDトークン、アクセストークンの取得

Cognitoのサインイン時に取得できる、IDトークン・アクセストークン・更新トークンを理解する | DevelopersIO

accessTokenはあくまでもcognitoに対するアクセスを許可するトークンという意味合いっぽいですね。

トークンのリフレッシュ処理について

アクセストークンの寿命を最短(5分)にして確認したところ、amplifyを使ってれば自動で更新してくれるようです。ありがとう。

googleソーシャルログインに審査が要るのかどうか

機密性の高いデータにアクセスする場合は必要だそうですが、機密性の高いデータとは何だろうか。
emailだけ取れれば十分なんですが・・・

AWS側のドキュメントによると最低限必要なscopeは3つ(email, profile, openid)ですが、OAuth同意画面を再確認したところ全て非機密のスコープにカテゴリされていたので審査は必要なさそうです。

terraformでaws_cognito_identity_providerを管理しようとすると差分が出る

authorize_url, oidc_issuerなどのドキュメントのexampleに載ってないパラメータがnullになる差分出ますが、applyして動作を確認したところ問題なさそう。

      ~ provider_details  = {
          - "attributes_url"                = "https://people.googleapis.com/v1/people/me?personFields=" -> null
          - "attributes_url_add_attributes" = "true" -> null
          ~ "authorize_scopes"              = "openid email profile" -> "profile email openid"
          - "authorize_url"                 = "https://accounts.google.com/o/oauth2/v2/auth" -> null
          - "oidc_issuer"                   = "https://accounts.google.com" -> null
          - "token_request_method"          = "POST" -> null
          - "token_url"                     = "https://www.googleapis.com/oauth2/v4/token" -> null

とはいえapplyする度に差分が出るので、ignore_changesで無視しようとのこと。 "aws_cognito_identity_provider" always have some changes on "provider_details" when "provider_type" is "Google" or "Facebook" · Issue #4831 · hashicorp/terraform-provider-aws · GitHub