パート2の地図

パート2は、DVA-C03 の分野2 セキュリティ（26%）、分野3 テストとデプロイ（22%）、分野4 トラブルシューティングと最適化（22%）を扱います。合わせると採点される問題の7割にあたります。

認証と認可

認証は「あなたは誰か」を確かめること、認可は「あなたは何をしてよいか」を決めることです。アプリの利用者の認証には Amazon Cognito を使います。

ユーザープールとアイデンティティプール

• ユーザープール … 利用者の登録とサインインを受け持つ。サインインに成功すると、JWT（署名付きのトークン）の ID トークン・アクセストークン・リフレッシュトークンを返す。外部の ID プロバイダとの連携もできる
• アイデンティティプール … ユーザープールなどのトークンと引き換えに、AWS の一時的な認証情報を渡す。アプリから直接 S3 や DynamoDB を呼ばせたいときに使う。サインインしていない利用者に、限られた権限を渡すこともできる

API Gateway の認可

• IAM の認可 … 呼ぶ側が AWS の認証情報で署名する。AWS の中のサービスどうしや、アイデンティティプールの認証情報を持つアプリ向け
• Cognito のオーソライザー … ユーザープールのトークンを API Gateway が確かめる
• Lambda オーソライザー … 自分で書いた Lambda 関数で、トークンやヘッダーを確かめて許可を決める。独自の認証の仕組みに合わせたいとき

「トークンを確かめたい」のか「AWS の認証情報が欲しい」のかで、ユーザープールとアイデンティティプールを選び分けます。

• パート2で扱う3つの分野と比率
• 認証と認可の違い
• Cognito のユーザープールとアイデンティティプールの違い
• API Gateway の3つの認可の選び分け