Amazon Verified Permissions workshopをやってみた

こんにちは、NTT東日本の白鳥です。
5月28日開催の「AWSを最大活用するための1dayカンファレンス」にご参加いただいた方、誠にありがとうございました。
たくさんの方にご参加いただき、感謝しております。
カンファレンスは終わっても、クラソルとのクロスコラボレーションは続いていきます！

きっかけ

できるようになること

日本語対応は今日時点ではされていないので、英語で読み進めることになります。
本ワークショップを完了すると、こんなことができるようになります。

• Amazon Verified Permissionsのポリシーストアの作成
• 静的ポリシーまたはテンプレートにリンクされたポリシーの作成
• Amazon Verified Permissionsのテストベンチを使ったポリシーのテスト
• ポリシーが追加される前に検証できるよう、スキーマを定義する
• ポリシーストアとIdPの接続のためのアイデンティティソースの利用
• バッチ認証を使用して複数のリクエストを同時に承認する

大きな流れとしては、アプリケーションを構築し、主に認証認可まわりの設定を確認していく形になります。
サンプルのアプリケーションは、ToDoリストを管理するアプリで、API GatewayやLambdaなどを利用したサーバレスアプリをイメージしていただければと思います。
認証にCognito、認可にVerified permissionsを使用します。
ワークショップの中にも概要はありますが、詳細なアプリの構成は本筋ではないので省略します。

やってみた

準備

AWS Cloud9構築が終わったら、ワークショップの手順に基づいて開発環境を整えます。
ここで、アプリケーションの構築まで完了させます。 アプリケーションの構築が完了すると、認証認可まわりは次のような構成になります。

認証認可の動き

1. ユーザーがAmazon Cognito経由でサインアップ
2. Pre Signup Lambdaがユーザーを確認
3. Post Confirmation LambdaがDynamoDBにユーザーを登録、ユーザーのタスクのStarterListを作成
4. ユーザーがアプリケーションからリソースを要求する際にCognitoのアクセストークンを送信
5. Cognitoがアクセストークンを検証
6. API LambdaがDynamoDBからリクエストコンテクストを収集し、Verified permissionsでユーザーがアクセスできるかを検証。承認されたら、ユーザーにリクエストされたリソースを返す

Lab 1 - Amazon Verified Permissions Consoleデモ

Lab 2 - Amazon Verified Permissionsを使ったアプリケーションの構築

Lab 3 - アイデンティティソースの利用

Lab 4 - 認可機能の改善

まとめ

Amazon Verified Permissionsの記事一覧