View a markdown version of this page

사용자 풀을 사용한 인증에 대해 알아야 할 사항 - Amazon Cognito
인증 세션 흐름 기간로그인 시도 실패에 대한 잠금 동작

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

사용자 풀을 사용한 인증에 대해 알아야 할 사항

Amazon Cognito 사용자 풀을 사용한 인증 모델 설계에서 다음 정보를 고려하세요.

관리형 로그인 및 호스팅 UI의 인증 흐름

관리형 로그인에는 클래식 호스팅 UI보다 더 많은 인증 옵션이 있습니다. 예를 들어 사용자는 관리형 로그인에서만 암호 없는 패스키 인증을 수행할 수 있습니다.

AWS SDK 인증에서만 사용 가능한 사용자 지정 인증 흐름

관리형 로그인 또는 클래식 호스팅 UI로는 사용자 지정 인증 흐름 또는 Lambda 트리거를 사용한 사용자 지정 인증을 수행할 수 없습니다. AWS SDK를 사용한 인증에서 사용자 지정 인증을 사용할 수 있습니다.

외부 ID 제공업체(IdP) 로그인을 위한 관리형 로그인

AWS SDKs를 사용한 인증에서는 타사 IdPs 통해 사용자를 로그인할 수 없습니다. 관리형 로그인 또는 클래식 호스팅 UI를 구현하고 IdP로 리디렉션한 다음 애플리케이션에서 OIDC 라이브러리를 사용하여 결과 인증 객체를 처리해야 합니다. 관리형 로그인에 대한 자세한 정보는 사용자 풀 관리형 로그인 섹션을 참조하세요.

다른 사용자 기능에 대한 암호 없는 인증 효과

사용자 풀 및 앱 클라이언트에서 일회용 암호 또는 패스키를 사용하여 암호 없는 로그인을 활성화하면 사용자 생성 및 마이그레이션에 영향을 미칩니다. 암호 없는 로그인이 활성화된 경우:

  1. 관리자는 암호 없이 사용자를 생성할 수 있습니다. 기본 초대 메시지 템플릿이 {###} 암호 자리 표시자를 더 이상 포함하지 않도록 변경됩니다. 자세한 내용은 관리자로 사용자 계정 생성 섹션을 참조하세요.

  2. SDK 기반 SignUp 작업의 경우 사용자가 가입할 때 암호를 제공할 필요가 없습니다. 관리형 로그인 및 호스팅 UI는 암호 없는 인증이 허용되는 경우에도 가입 페이지에 암호가 필요합니다. 자세한 내용은 사용자 계정 가입 및 확인 섹션을 참조하세요.

  3. CSV 파일에서 가져온 사용자는 속성에 사용 가능한 암호 없는 로그인 옵션에 대한 이메일 주소 또는 전화번호가 포함된 경우 암호 재설정 없이 암호 없는 옵션으로 즉시 로그인할 수 있습니다. 자세한 내용은 CSV 파일에서 사용자 풀로 사용자 가져오기 섹션을 참조하세요.

  4. 암호 없는 인증은 사용자 마이그레이션 Lambda 트리거를 호출하지 않습니다.

  5. 일회용 암호(OTP) 첫 번째 팩터로 로그인하는 사용자는 세션에 멀티 팩터 인증(MFA) 팩터를 추가할 수 없습니다. 사용자 확인이 포함된 패스키는 로 구성된 경우 MFA 요구 사항을 충족할 수 있습니다MULTI_FACTOR_WITH_USER_VERIFICATION.

패스키 신뢰 당사자 URL은 공개 접미사 목록에 있을 수 없습니다.

www.example.com과 같이 소유한 도메인 이름을 패스키 구성에서 신뢰 당사자(RP) ID로 사용할 수 있습니다. 이 구성은 소유한 도메인에서 실행되는 사용자 지정 빌드 애플리케이션을 지원하기 위한 것입니다. 퍼블릭 접미사 목록 또는 PSL에는 보호된 상위 수준 도메인이 포함되어 있습니다. Amazon Cognito는 RP URL을 PSL의 도메인으로 설정하려고 할 때 오류를 반환합니다.

인증 세션 흐름 기간

사용자 풀의 기능에 따라 앱이 Amazon Cognito에서 토큰을 검색하기 RespondToAuthChallenge 전에 InitiateAuth 및에 대한 여러 문제에 대응할 수 있습니다. Amazon Cognito는 각 요청에 대한 응답에 세션 문자열을 포함합니다. API 요청을 인증 흐름에 결합하려면 이전 요청에 대한 응답의 세션 문자열을 각 후속 요청에 포함합니다. 기본적으로 사용자는 세션 문자열이 만료되기 전에 3분 동안 각 챌린지를 완료해야 합니다. 이 기간을 조정하려면 앱 클라이언트 Authentication flow session duration(인증 흐름 세션 기간)을 변경합니다. 다음 절차에서는 앱 클라이언트 구성에서 이 설정을 변경하는 방법을 설명합니다.

참고

인증 흐름 세션 기간 설정은 Amazon Cognito 사용자 풀 API를 사용한 인증에 적용됩니다. 관리형 로그인은 최종 사용자가 임시 암호로 처음 로그인하는 동안 다중 인증의 경우 세션 기간을 3분, 강제 암호 변경의 경우 8분으로 설정합니다.

Amazon Cognito console
앱 클라이언트 인증 흐름 세션 기간을 구성하는 방법(AWS Management Console)

  1. 사용자 풀의 App integration(앱 통합) 탭에서 App clients and analytics(앱 클라이언트 및 분석) 컨테이너의 앱 클라이언트 이름을 선택합니다.

  2. 앱 클라이언트 정보 컨테이너에서 편집을 선택합니다.

  3. 인증 흐름 세션 기간 값을 SMS 및 이메일 MFA 코드에 대해 원하는 유효 기간(분)으로 변경합니다. 이렇게 하면 사용자가 앱 클라이언트에서 인증 챌린지를 완료해야 하는 시간도 변경됩니다.

  4. 변경 사항 저장을 선택합니다.

User pools API
앱 클라이언트 인증 흐름 세션 기간을 구성하는 방법(Amazon Cognito API)

  1. DescribeUserPoolClient 요청의 기존 사용자 풀 설정으로 UpdateUserPoolClient 요청을 준비합니다. UpdateUserPoolClient 요청에는 모든 기존 앱 클라이언트 속성이 포함되어야 합니다.

  2. AuthSessionValidity 값을 SMS MFA 코드에 대해 원하는 유효 기간(분)으로 변경합니다. 이렇게 하면 사용자가 앱 클라이언트에서 인증 챌린지를 완료해야 하는 시간도 변경됩니다.

앱 클라이언트에 대한 자세한 내용은 앱 클라이언트를 사용한 애플리케이션별 설정 섹션을 참조하세요.

로그인 시도 실패에 대한 잠금 동작

인증되지 않은 API 작업 또는 IAM 인증 API 작업으로 요청되었는지 여부에 관계없이 사용자 암호로 로그인 시도가 5회 실패하면 Amazon Cognito는 1초 동안 사용자를 잠급니다. 이후 한 번 더 실패할 때마다 잠금 시간이 두 배로 늘어나 최대 15분 정도까지 늘어납니다.

잠금 기간 중에 시도하면 Password attempts exceeded 예외가 발생하며, 이후 잠금 기간에 영향을 주지는 않습니다. 누적 로그인 시도 실패 n(Password attempts exceeded예외 제외)회에 대해, Amazon Cognito는 2^ (n-5)초 동안 사용자를 차단합니다. 잠금을 n=0 초기 상태로 재설정하려면 사용자는 잠금 기간이 만료된 후 성공적으로 로그인하거나 잠금이 설정된 후 연속으로 15분 동안 로그인 시도를 하지 않아야 합니다. 이러한 동작은 변경될 수 있습니다. 암호 기반 인증도 수행하지 않으면 이 동작은 사용자 지정 챌린지에는 적용되지 않습니다.