Presentation Title Here

Size: px

Start display at page:

Download "Presentation Title Here"

まともはなだて
4 years ago
Views:

1 Amazon Cognito Mobile Identity Management and Data Synchronization Amazon Data Service Japan K.K. Solutions Architect Keisuke

2 自己紹介 { "Name" : " 西谷圭介 ", "Twitter" : "@Keisuke69", "Profile" : { "Role" : "Solution Architect", "Customers": [ "Web Services", "Start-up" ], "Services" : [ "AWS Lambda", "Amazon API Gateway", "All Mobile Services" ] } }

3 Mobile 開発における課題

4 モバイル開発における課題モバイルアプリケーションアイデンティティの管理と認可データ同期非同期通信アクティブなデバイスの分析ユーザの行動分析エンゲージメントの分析 Push通知イベントトリガー Platformにとらわれないモバイルバックエンドデータのバリデーションと変換ファイル/メディア保管用ストレージ共有データベースデータの収集 And More. AWS Cloud Infrastructure デベロッパーが直面している課題複数プラットフォームの断片的な利用スケーラブルな同期処理の実装が困難高い運用管理コストユーザエクスペリエンスの喪失ユニークなユーザアイデンティティ管理の難しさ限られた予算 Undifferentiated Heavy Lifting

5 モバイル開発における課題モバイルアプリケーションアイデンティティの管理と認可データ同期非同期通信アクティブなデバイスの分析ユーザの行動分析エンゲージメントの分析 Push 通知イベントトリガー Platform にとらわれないモバイルバックエンドデータのバリデーションと変換ファイル / メディア保管用ストレージ共有データベースデータの収集 And More. AWS Cloud Infrastructure Amazon Cognito Amazon Mobile Analytics Amazon SNS Mobile Push AWS Lambda モバイルに最適化されたコネクタ (Kinesis, S3, DynamoDB, SQS)

6 AWS Mobile Services お客様のモバイルアプリゲームデバイス統合された SDK AWS Mobile SDK, API Endpoints, Management Console モバイルに最適化されたサービス Amazon API Gateway Amazon Cognito Amazon Mobile Analytics Amazon SNS AWS Device Farm モバイルに最適化されたコネクタ AWS Lambda Kinesis Connector DynamoDB Mapper S3 Transfer Mgr SQS Client SES Client コアとなるサービス群コンピュートストレージネットワーク分析データベースグローバルインフラ ( リージョンアベイラビリティゾーンエッジロケーション )

7 統合されたAWS Mobile SDK 全てのサービスに共通の認証機構オンラインオフラインを自動でハンドリングクロスプラットフォームのサポート Android, ios, Fire OS, Unity, Xamarin Mobile OSへの最適化例ローカルオフラインキャシュを利用するアーキテクチャメモリフットプリントの削減同梱するパッケージの選択も可各プラットフォームのエンハンスに追従 ios Xamarin Android Fire OS Unity

Mapper) Amazon Mobile Analytics Amazon Mobile Analytics Amazon CloudFront (Device Detection) プッシュ通知の送

8 モバイルアプリ開発の課題ユーザ認証メディアの管理 Amazon S3 Transfer Manager Amazon Cognito (Identity Broker) アクセスの認可 AWS Identity and Access Management Your Mobil e App データの同期ユーザの行動分析共有データの保存 Amazon DynamoDB (Object Mapper) Amazon Mobile Analytics Amazon Mobile Analytics Amazon CloudFront (Device Detection) プッシュ通知の送 SNS 信 Amazon Mobile Push Amazon Cognito (Sync) 保持率の追跡メディアの配信 AWS Mobile SDK データのリアルタイム解析 Amazon Kinesis (Recorder)

9 User identity and sync with Amazon Cognito

10 Amazon Cognito Your app data is secure, available offline, and kept in sync between devices アイデンティティとアクセスの管理を簡潔にセキュリティのベストプラクティスを実装クロスデバイスクロスプラットフォームなデータ同期独自認証 IDプロバイダを越えたユニークなアイデンティティとしてユーザを管理モバイルデバイスから全 AWSサービスへのセキュアなアクセスデバイスとプラットフォームをまたがってユーザのデータを同期

11 Amazon Cognito Your app data is secure, available offline, and kept in sync between devices アイデンティティとアクセスの管理を簡潔にセキュリティのベストプラクティスを実装クロスデバイスクロスプラットフォームなデータ同期独自認証 IDプロバイダを越えたユニークなアイデンティティとしてユーザを管理モバイルデバイスから全 AWSサービスへのセキュアなアクセスデバイスとプラットフォームをまたがってユーザのデータを同期

Amazon Cognito Identity ユニーク ID Joe Anna Bob 複数の ID プロバイダをサポート ID プロバイダと簡単に連携して認証 Amazon, Facebook, Twitter, Google, OpenID Connect などに対応 ID プロバイダゲストアクセス独自認証システムユニークなアイデンティティ

12 Amazon Cognito Identity ユニーク ID Joe Anna Bob 複数の ID プロバイダをサポート ID プロバイダと簡単に連携して認証 Amazon, Facebook, Twitter, Google, OpenID Connect などに対応 ID プロバイダゲストアクセス独自認証システムユニークなアイデンティティ認証済ユーザに対してユニークIDを割り当てデバイスやプラットフォームをまたがって認識と管理デバイスプラットフォーム容易なセキュリティのベストプラクティス実装モバイルデバイスからAWSリソースへのセキュアなアクセスのためのやり取りをIAMと連携して簡略化 AWS サービス Mobile Analytics S3 DynamoDB Kinesis

Amazon Cognito の認証フロー Developer User Authentication System

Token Token Pool ID Role ARNs Amazon Cognito ID, Temp Credentials

Management Console Amazon DynamoDB App with AWS Mobile SDK Access

13 Amazon Cognito の認証フロー Developer User Authentication System (Running on AWS or not) Amazon S3 User Name Password End Users Token Token Pool ID Role ARNs Amazon Cognito ID, Temp Credentials Amazon Cognito Identity Broker Amazon Mobile Analytics AWS Management Console Amazon DynamoDB App with AWS Mobile SDK Access to AWS Services Amazon Cognito ID (Temp Credentials) Amazon Cognito Sync Store

14 ( 参考 )OpenID Connect 2014 年 2 月に最終承認された ID 連携に関する仕様準拠している ID プロバイダを Cognito でも利用可能例 :Salesforce, Ping Identity, Google etc

15 Developer Authenticated Identity 独自認証システムの利用パブリックなIDプロバイダではなく独自の UsernameとPasswordを使って認証認証基盤の実装が必要 GetOpenIdTokenForDeveloperIdentity() を実装する既存の認証基盤を使う場合改修が必要パブリックIDプロバイダの併用 CognitoのIDを元にパブリックなIDプロバイダと独自認証を併用して管理することも可能 Username And Password 独自認証システム

ID, Temp Credentials Amazon Cognito Identity Broker Amazon Mobile Analytics AWS Management Console Amazon

16 Amazon Cognito の認証フロー (Developer Authenticated Identities) Get OpenID Token Developer 独自認証システム AWS 上で稼働していなくても OK) OIDC Token Amazon S3 User Name Password End Users OIDC Token OIDC Token Pool ID Role ARNs Amazon Cognito ID, Temp Credentials Amazon Cognito Identity Broker Amazon Mobile Analytics AWS Management Console Amazon DynamoDB App with AWS Mobile SDK Access to AWS Services Amazon Cognito ID (Temp Credentials) Amazon Cognito Sync Store

未認証によるアクセスを許可しない設定も可能 Visitor Preferences アクセス権限は未認証ユーザに対して割り当てたIAM Roleのポリシーに基づく

17 未認証ユーザのゲストアクセス Unauthenticated Identities IDプロバイダで認証をしていないユーザをゲストユーザとしてユニークIDの付与と管理アプリやAWSリソースへのアクセスにアカウントの作成や認証が不要 Guest 未認証の場合 IDはデバイスと紐づくので同一デバイスからのアクセスの場合に同一ユーザとして認識される未認証によるアクセスを許可しない設定も可能 Visitor Preferences アクセス権限は未認証ユーザに対して割り当てたIAM Roleのポリシーに基づくセンサーデバイス等のスクリーンや入力装置のないデバイスに対してもユニークIDの付与と管理が可能データはクラウド上に保存され後からログインした場合は自動でマージ EC2 S3 DynamoDB Kinesis Cognito Store

アプリはBeaconを拾って位置情報等を直接KinesisへPUT ゲストユーザはKinesisへのPUTだけを許可 4.

18 例ゲストアクセスのユースケース 1. イベント会場でBLE Bluetooth Low Energy を利用したBeacon端末を配置 2. ユーザ登録不要なイベント公式アプリを配布しゲストユーザとして認証情報を取得 3. アプリはBeaconを拾って位置情報等を直接KinesisへPUT ゲストユーザはKinesisへのPUTだけを許可 4. Kinesisは受け取ったデータを元にリアルタイムに処理を実施ヒートマップ作成等 Identity Pool Role ARN Cognito ID Temporaly Credential Cognito Identity Broker PUT Amazon Kinesis

"Resource":"*" "Effect": Deny", "Action": ["dynamodb:*"], "Resource": "*" Deny Actions:

19 ( 参考 )IAM Role 用のアクセスポリシーの作成 Allow Actions: All S3, Sync store Operations Resource: All resources within these services { } { } "Effect":"Allow", "Action":["s3:*"], "Resource":"*" "Effect": Deny", "Action": ["dynamodb:*"], "Resource": "*" Deny Actions: All DDB Operations Resource: All resources { } "Effect": "Allow", "Action": [ cognito-sync:*"], "Resource": "*"

20 アクセスポリシーによる制限 (Policy Variables) Allow Actions: All sync operations Resource: Only to that identity { "Effect":"Allow", "Action":"cognito-sync:*", "Resource":["arn:aws:cognito-sync:us-east-1: :identitypool/ ${cognito-identity.amazonaws.com:aud}/identity/ ${cognito-identity.amazonaws.com:sub}/*"] } Allow Actions: S3 Get/Put operations Resource: Only to a specific part of bucket to that identity { "Effect": "Allow, "Action": ["s3:getobject,"s3:putobject ], "Resource": ["arn:aws:s3::: mybucket/amazon/snakegame/ ${cognito-identity.amazonaws.com:sub}"] }

21 Cognito Identity の基本的な流れ 1. マネージメントコンソール上で Identity Pool を作成する 2. AWS SDK for Android/iOS をプロジェクトに追加する 3. Amazon Cognito credentials provider を初期化する 4. ID プロバイダの認証情報を渡す未認証ユーザの場合は不要 5. Cognito の認証情報を利用してその他の AWS サービスのクライアントを初期化する

22 コード例 (Android) // Credential Provider の初期化 CognitoCachingCredentialsProvider credentialsprovider = new CognitoCachingCredentialsProvider( getapplicationcontext(), ap-northeast-1:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx", // Identity Pool ID Regions.AP_NORTHEAST_1 // Region ); // Facebook ユーザで認証する場合 Map logins = new HashMap(); logins.put("graph.facebook.com", Session.getActiveSession().getAccessToken()); credentialsprovider.setlogins(logins); //AWS サービスへのアクセス AmazonDynamoDB client = new AmazonDynamoDBClient(credentialsProvider); //Congito ID の取得 String identityid = credentialsprovider.getidentityid(); 上記例では省略していますが事前に ID プロバイダを利用した認証処理の実装が必要です実際には Loader や AsyncTask 等を用いた非同期タスクとして実装すること

23 コード例 (JavaScript) // 以下では Facebook ユーザを認証済ユーザとして使用 AWS.config.region = ap-northeast-1 ; // リージョンの指定 ( 必須 ) AWS.config.credentials = new AWS.CognitoIdentityCredentials({ IdentityPoolId: ap-northeast-1:xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxx, Logins: { graph.facebook.com : facebookresponse.authresponse.accesstoken } }); // Cognito から付与された ID の取得 AWS.config.credentials.get(function(err) { if (!err) { console.log("cognito Identity Id: " + AWS.config.credentials.identityId); } });

24 Amazon Cognito Your app data is secure, available offline, and kept in sync between devices アイデンティティとアクセスの管理を簡潔にセキュリティのベストプラクティスを実装クロスデバイスクロスプラットフォームなデータ同期独自認証 IDプロバイダを越えたユニークなアイデンティティとしてユーザを管理モバイルデバイスから全 AWSサービスへのセキュアなアクセスデバイスとプラットフォームをまたがってユーザのデータを同期

25 モバイル SDK を使う際の認証情報の扱い AWS の各種サービスはあくまでバックエンドエンドユーザは必ずしも AWS ユーザではないアプリは開発者のアカウントで認証認可を受ける必要があるアプリに開発者アカウントのアクセスキー等を埋め込んだらアクセスキーが広範にばら撒かれることにアクセスキーの不正利用を止めるためにキーを無効化したら全ユーザへのサービスが停止!! アクセスキーの定期的な更新で対処するにしても更新のたびにバージョンアップは非現実的更新前のアプリからはサービス利用不可に

26 セキュアな AWS アクセスを提供するにはアプリに認証情報を埋め込むべきではないアクセスキーが広範囲に配布されてしまうアクセスキーの更新はアプリのアップデートを伴うため非現実的エンドユーザ / 端末ごとに異なる認証情報を提供すべきユーザごとに必要最小限の権限を与えるのは重要不正利用発覚時に不正ユーザのみ権限を停止認証情報は期限が来たら無効化されるべき不正ユーザの影響も期限付きに

セキュリティトークンサービスと連携したりトークンベンディングマシンを構築する必要はないセキュアに AWS サービスを利用 EC2

27 Amazon Cognitoのセキュリティ AWS Credentials の保護必要な権限だけを付与された一時的なクレデンシャルを取得できるのでアプリにクレデンシャルを埋め込まなくてよいセキュリティのベストプラクティスを支援セキュリティトークンサービスと連携したりトークンベンディングマシンを構築する必要はないセキュアに AWS サービスを利用 EC2 S3 DynamoDB Get 細やかなアクセス制御 IAM との連携で AWS リソースへの細かなアクセス制御を実現 S3 DynamoDB Kinesis Delete Put

28 Amazon Cognito Your app data is secure, available offline, and kept in sync between devices アイデンティティとアクセスの管理を簡潔にセキュリティのベストプラクティスを実装クロスデバイスクロスプラットフォームなデータ同期独自認証 IDプロバイダを越えたユニークなアイデンティティとしてユーザを管理モバイルデバイスから全 AWSサービスへのセキュアなアクセスデバイスとプラットフォームをまたがってユーザのデータを同期

ユーサデータや設定をデバイスをまたいで同期 User Data Storage and Sync Identity pool

29 Amazon Cognito Sync クラウドへのデータ保存と同期アプリのデータ設定状態などを保存アプリやデバイスのデータをクラウドに保存できログイン後にマージされるクロスデバイスクロスプラットフォームで同期ユーサデータや設定をデバイスをまたいで同期 User Data Storage and Sync Identity pool k/v data バックエンド不要スケーラブルで信頼性の高いデータ同期基盤を簡単に Any Platform 利用可能 ios/android/fireos

インテリジェントな同期処理同期メソッドはローカルとクラウドのデータのバージョンを比較してデータをプッシュ / プル SDK

30 Amazon Cognito Sync クラウドへのデータ保存と同期オフライン動作データはまずローカルのデータストレージに保存されるので電波が不安定もしくは不通であってもシームレスに動作できるインテリジェントな同期処理同期メソッドはローカルとクラウドのデータのバージョンを比較してデータをプッシュ / プル SDK ローカルデータストア柔軟なコンフリクトの解決同期メソッドは変更を読み取り後ローカルの変更をクラウドのデータストアへ書き込むデフォルトでは最後の書き込みを有効として保存する開発者はコンフリクト処理を独自に上書きして実装することもできる

31 Cognito Sync データモデル Identity Pool: アプリユーザの Pool アプリ間で共有する場合もある Identity: 個々のユーザ ID プロバイダ間をまたいでユニークゲストユーザも可 Dataset: ユーザごとのデータのグループ Record: Key/Value のユーザデータ AWS Account 1:60 Identity 1:n Pool Identity Identity Identity 1:20 Dataset Dataset Dataset 1:1024 Dataset Dataset Record You Your App Your App Users User Data Container User Data

32 Cognito Sync データモデル例 AWS Account You 1:60 Identitypool1 ゲームとユーティリティ 2種類アプリを提供 Identity Pool Your App 1:n Identity Identity Identity Your App Users 1:20 Dataset Dataset Dataset ーティリティ App 1:1024 User情報 Dataset Game App User Data Container Game情報 Dataset Dataset Dataset Record User Data

33 Dataset 各 Identity は最大 20 個の Dataset を利用可能各 Dataset は 1MB まで Key/Value 形式のデータを保存可能 Key/Value ともに英数字の文字列保存可能なキーの数は 1024 個まで容量内であれば文字数の制限はなしバイナリデータは base64 でエンコードして保管する保管されるデータはすべて暗号化され通信は HTTPS で暗号化されているただしローカルキャッシュはユーザ側で暗号化を実装しなければ暗号化はされない

34 2 種類の Syncronize synchronize 接続が不安定な場合などのエラー時の処理は自分で実装する必要があるコールされるとクラウド上の変更が pull されローカルの変更は push される synchronizeonconnectivity 実行時に接続可能であれば通常の synchronize メソッドと同様の振る舞いをする接続できなかったときは接続状態を監視し可能になったら同期される複数回呼び出した場合は最後のオペレーションがキープされる

35 コード例 (Android) // Cognito Sync client の初期化 CognitoSyncManager syncclient = new CognitoSyncManager( getapplicationcontext(), Regions.AP_NORTHEAST_1, // Region credentialsprovider); //Dataset をオープンしレコードを追加 Dataset dataset = syncclient.openorcreatedataset("mydataset"); dataset.put("mykey", "myvalue"); // 同期処理の実行 dataset.synchronize(new DefaultSyncCallback() public void onsuccess(dataset dataset, List newrecords) { //Your handler code here } });

36 コード例 (JavaScript) // Cognito Sync client の初期化 AWS.config.credentials.get(function(){ var syncclient = new AWS.CognitoSyncManager(); syncclient.openorcreatedataset('mydataset', function(err, dataset) { dataset.put('mykey', 'myvalue', function(err, record){ dataset.synchronize({ onsuccess: function(data, newrecords) { // ハンドラを実装 } }); }); }); });

37 Amazon Cognito Push Sync Amazon SNS Mobile Push との連携 Amazon Cognito がデータストアが更新されたタイミングで Amazon SNS Mobile Push と連携して各デバイスにプッシュ通知を送信できるプッシュ通知を受け取ったアプリはデータストアの再同期を行うように実装するなど 2. プッシュ通知 1. データ同期 Amazon Cognito Sync Store Mobile SDK モバイルアプリ (デバイス１) Amazon SNS Mobile Push 3. データ同期 Mobile SDK モバイルアプリ (デバイス２)

38 Amazon Cognito Stream Amazon Kinesis との連携 Amazon Cognito のデータストアが更新されたタイミングで Amazon Kinesis ストリームで更新や同期のデータを受け取ることができるストリームの内容 2. Stream Content { "identitypoolid" : "Pool Id "identityid" : "Identity Id "datasetname" : "Dataset Name "operation" : "(replace remove) "kinesissyncrecords" : [ { "key" : "Key", "value" : "Value", "synccount" : 1, "lastmodifieddate" : , "devicelastmodifieddate" : , "op": "(replace remove)" },... ], "lastmodifieddate": , "kinesissyncrecordsurl": "S3Url", "payloadtype" : "(S3Url Inline)", "synccount" : 1 1. データ同期 Mobile SDK Amazon Cognito Sync Store Amazon Kinesis 3. 例えばモバイルアプリ Amazon Redshift }

39 Amazon Cognito Events Amazon Lambda との連携 2. Sync Trigger Mobile SDK 1. データ同期 Amazon Cognito Sync Store 3. 何か処理 AWS Lambda モバイルアプリ元データ Key Value 住所東京都渋谷区松濤 1 丁目修正済みデータ Key Value 住所東京都渋谷区松濤 1 丁目 Lambda Function (Node.js) 空白を削除するプログラム

40 Use cases

41 Web と Mobile を跨ったユーザ識別

42 RSSリーダサービスブラウザとモバイルアプリ間でシームレスにデータ連携サーバサイドのコードなしこの程度であれば DynamoDBすら不要 1. HTTP S アクセス 2. HTMLとJSをレスポンス JavaScript SDK S3 3. 認証認可 FBやGoogleのIDでログイン Cognito Identity App with AWS Mobile SDK 5. データのPush/Pull Cognito Sync 4. データの同期 MobileSDK ブラウザ間でデータ同期

43 ユーザ状態の遷移当初はゲストユーザとして

44 ユーザ状態の遷移その後アカウント登録シームレスに遷移

45 ユーザ状態の遷移複数のアカウントをリンク一貫性のあるアイデンティティ管理が必要

46 結局どう使えるのか?

47 アプリから AWS リソースにアクセスする際は何も考えず使っておけばいい

48 ありがちなデバイス間でのデータ共有で楽をしたいとき

49 料金無料利用枠月あたり 100 万回の同期オペレーション月あたり 10GB のデータストア最初の 12 ヶ月のみそれ以降回の同期オペレーションあたり $0.15 同期用データストア 10GB を越えた分について 1GB あたり $0.15

50 制約事項 Cognito Identity アカウントあたりのIdentity Pool 数 60 Identity PoolあたりのIdentity 数無制限 Identity Pool 名の文字数 128bytes ログインプロバイダ名の文字数 2048bytes 一回のList/Lookupコール時の結果数 60 Cognito Sync IdentityあたりのDataset 数 20 DataSet 辺りの最大レコード数 DataSetの最大サイズ 1MB DataSet 名の文字数 128bytes Bulk Publish 時の最小待ち時間 24 時間

51 参考資料ブログドキュメント Amazon Cognito: Amazon Mobile Analytics: /

52 Q&A

53 Webinar資料の配置場所 AWS クラウドサービス活用資料集

54 ご参加ありがとうございました

Presentation Title Here

Presentation Title Here Amazon Cognito Amazon Mobile Analytics AWS Black Belt Tech Webinar 2014 ( 旧マイスターシリーズ ) アマゾンデータサービスジャパン株式会社今井雄太西谷圭介 Agenda AWS モバイルサービスのご紹介クライアント SDK のおさらい Amazon Cognito Amazon Cognito とは? Amazon Cognito