認証を入口で確かめる。

Google OIDC / AWS 認証デモ

画面は静的配信。保護APIはGoogleのIDトークンを検証してから、Lambdaへ処理を渡します。

画面の表示と、APIの実行を分離

画面を開く

ブラウザ → CloudFront → 非公開S3

HTML・CSS・JavaScriptの配信だけ。API GatewayもLambdaも呼び出しません。Google認証SDKの読み込みはGoogleへ接続します。

保護APIを使う

  1. GoogleInternal設定で組織外のログインを制限し、本人のIDトークンを発行。
  2. API GatewayGoogleの署名・発行元・このアプリ向けか・有効期限を検証。不正ならここで拒否。
  3. Lambda検証済みメールを対象メンバー一覧と照合。登録されたメンバーだけに結果を返します。

API通信はCloudFrontの /api/me → API Gatewayへ転送します。認証結果はキャッシュしません。