Contents
2026年のAWS CognitoにおけるIdentity PoolとUser Poolの概要
AWS Cognitoは、ユーザー認証およびIAM（アイデンティティおよびアクセス管理）を実現するための主要な機能としてUser PoolとIdentity Poolの2つのプールが存在します。両者は目的や技術的特性に違いがあるため、アプリケーションの要件に応じて適切に選択することが重要です。本記事では、それぞれの設計思想・技術的特徴を比較し、現在までのアップデート情報（主に2026年以降の動向）を踏まえた再評価を行います。
User PoolとIdentity Poolの定義と役割の違い
User PoolとIdentity Poolは異なる目的で設計されており、アプリケーションの用途に応じて適切なプールを選択する必要があります。以下に両者の主な違いを整理します。
User Pool は、ユーザー登録・認証・セッション管理を一括処理する機能であり、OAuth 2.0やOpenID Connect（OIDC）プロトコルに基づいて、アプリケーション内での人間ユーザー向けのSSO（シングルサインオン）を実現します。一方で、Identity Poolはフェデレーテッドアイデンティティ（外部認証ソース）とIAMロールとの連携を通じて、AWSリソースへのアクセス権付与やゲストユーザーの匿名セッション管理を担います。
| 項目 | User Pool | Identity Pool |
|---|---|---|
| 主要用途 | 人間ユーザー向け認証・SSO | 外部アイデンティティとの連携・IAMロールベースのアクセス制御 |
| 認証プロトコル | OAuth 2.0 / OIDC | IAM Roles + フェデレーテッドアイデンティティ |
| セッション管理 | 自主的なトークン発行 | AWS提供の一時的な認証情報発行（IAMロール） |
| 未認証ユーザー対応 | 限定的（アプリケーション設定による） | 完全サポート（ゲストセッション） |
認証フローの技術的詳細と比較
User PoolとIdentity Poolはそれぞれ異なる認証プロトコルを採用しており、セキュリティ強化やパフォーマンス改善が進んでいます。以下に両者の技術的特徴を比較しながら解説します。
User PoolのOAuth 2.0/OIDCベース認証フロー
User PoolはOAuth 2.0とOIDCプロトコルに基づいた認証フローを採用しています。ユーザーがアプリケーションにログインすると、以下のようなワークフローで処理されます。
- ユーザーがアプリケーションのログイン画面でIDとパスワードを入力。
- User Poolが認証を行い、IDトークン（JWT形式）とアクセストークンを発行。
- アプリケーションはアクセストークンを使ってAWSリソースにアクセス。
2026年以降のアップデートでは、セキュリティ強化の一環としてトークン署名アルゴリズムの変更（SHA-256からEdDSAへ）や、OAuth 2.0の「implicit grant flow」廃止とPKCE方式への統一が導入されました。
Identity Poolのフェデレーテッドアイデンティティフロー
Identity Poolは外部認証プロバイダー（IdP）との連携を通じて、ユーザーにAWSリソースへのアクセス権を付与します。主なワークフローは以下の通りです：
- ユーザーがGoogleやFacebookなどの外部アカウントでログイン。
- Identity Poolがフェデレーテッドアイデンティティを取得し、一時的なAWSアクセスキーとIAMロールを発行。
- アプリケーションはそのアクセスキーを使ってAWSリソースにアクセス。
2026年以降のアップデートでは、IAM OIDC Federationの連携強化が実施され、フェデレーテッドユーザーの認証フローにおけるレイテンシーが改善されています。
セッション管理とトークンライフサイクル
セッション管理は、ユーザーの認証状態を維持する重要なプロセスです。User PoolとIdentity Poolそれぞれに異なるトークンポリシーが採用されており、セキュリティ強化やパフォーマンス改善が進んでいます。
IDトークン・アクセストークンの有効期間ポリシー
User Poolでは、IDトークンとアクセストークンのデフォルト有効期限が変更され、「30分〜60分」の範囲で設定可能となっています（アプリケーションごとにカスタマイズ可能です）。また、セキュリティ強化の一環として「トークン刷新モード」が導入され、トークンを定期的にリフレッシュする仕組みも標準で利用可能になりました。
一方で、Identity Poolの場合は、「一時的なアクセスキー」が生成されるため、そのライフサイクルはIAMロールの設定に依存します。デフォルトでは「1時間」ですが、最大「24時間」まで延長可能です。
セッション切替時の挙動比較
セッション切替（例：ユーザーログイン後の画面遷移やサードパーティアカウントからの切り替え）では、以下のような差異があります。
- User Pool: ユーザーが再度認証を行うたびに新しいアクセストークンが生成される。
- Identity Pool: 外部IdPとの連携解除（サインアウト）時にIAMロールの解除も同時に実施される。
2026年以降のアップデートでは、セッション切替時の認証情報再検証を強制するポリシーが追加され、未確認セッションによる不正アクセスリスクが削減されました。
CloudTrailによるユーザ特定機能の活用
AWS CloudTrailは、クラウド上でのすべてのAPI呼び出しを監査・トレースできる機能です。User PoolとIdentity PoolともにCloudTrailとの連携を通じて、ユーザーの認証アクティビティやIAMロールの利用履歴を詳細に追跡することが可能です。
User Poolでのアクティビティログの取得方法
User Poolでは、以下のログイベントがCloudTrailで記録されます：
- ユーザー登録
- 認証成功 / 失敗（ログイン試行）
- セッション発行・更新
2026年以降のアップデートでは、「ユーザー認証失敗時のIPアドレスとデバイス情報の自動収集」機能が追加され、セキュリティ監査における精度が向上しています。
Identity Poolのフェデレーテッドユーザー追跡手法
Identity Poolでは、外部IdPとの連携を介した認証イベントがCloudTrailで記録されます。主なロギング項目は以下です：
- 外部IdPからの認証成功 / 失敗
- IAMロールのアサインメント・解除
- 一時的なアクセスキーの発行
2026年以降のアップデートでは、フェデレーテッドユーザーのID（メールやユーザーアカウントID）をCloudTrailイベントに含める機能が拡充され、監査要件の明確化が図られています。
| 項目 | User Pool | Identity Pool |
|---|---|---|
| ログイベント内容 | ユーザー認証・セッション管理イベント | 外部IdPとの連携イベント、IAMロールの変更 |
| データ追跡精度（2026年版） | IPアドレス／デバイス情報の収集強化 | フェデレーテッドユーザーIDの明確化 |
ロールマッピングの比較と最適な適用シナリオ
ロールマッピングは、ユーザーにどのIAMロールを割り当てるかを決める仕組みです。User PoolとIdentity Poolでは、それぞれ異なるアプローチで実装されており、用途に応じた選択が求められます。
User Poolのグループベースロールアサインメント
User Poolでは、ユーザー属性（例：所属部署や利用権限）に基づいた「グループ」を作成し、そのグループにIAMロールを割り当てます。この方式は以下のような利点があります：
- 柔軟なセキュリティポリシーの設定が可能
- グループごとに異なるアクセス制御を実現できる
2026年以降のアップデートでは、「動的グループアサインメント」機能が追加され、ユーザー属性変更に応じて自動でロールが再評価されるようになっています。
Identity PoolのIAMロール連携仕組み
Identity Poolは外部認証プロバイダー（IdP）との連携を通じてIAMロールを割り当てます。2026年以降のアップデートでは、「ロール評価アルゴリズムの最適化」により、処理速度が向上し、スケーラビリティに優れた構成が可能になりました。
| 項目 | User Pool | Identity Pool |
|---|---|---|
| 割り当て基準 | ユーザー属性 / グループ設定 | 外部IdPとの連携情報／IAMロールの直接割り当て |
| 柔軟性（2026年版） | 動的グループアサインメント対応 | IAMロール評価アルゴリズム高速化 |
2026年版AWS Cognitoの最新アップデート情報
2026年以降にリリースされたAWS Cognitoのアップデートでは、認証フローとセキュリティ強化の両面で新たな機能が導入されました。
認証フローにおける新機能概観
-
OAuth 2.0のPKCE方式のみへの統一
セキュリティ強化の一環として、「implicit grant flow」が廃止され、認証プロトコルはPKCE（Proof Key for Code Exchange）に限定されました。 -
フェデレーテッドアイデンティティでの「IDトークン自動更新」機能の導入
Identity Poolでは、ユーザー認証時のIDトークンの有効期限を自動で更新できるようになりました。
セキュリティ強化措置とパフォーマンス改善点
-
トークン署名アルゴリズムの変更（SHA-256からEdDSAへ）
User Poolで発行されるIDトークンおよびアクセストークンの署名は、よりセキュアなEdDSAアルゴリズムに統一されました。 -
CloudTrailイベントログの精度向上と監査要件対応強化
User Poolでは、「ユーザー認証失敗時のIPアドレス／デバイス情報収集」が標準で実施されるようになり、セキュリティ監査の一層の強化が図られています。 -
Identity Poolでの「ロール評価アルゴリズム高速化
IAMロールの割り当て処理が最適化され、フェデレーテッドユーザーが多い場合でもパフォーマンスに影響を与えることなく動作します。
まとめ
2026年以降に更新されたAWS Cognitoは、User PoolとIdentity Poolの機能・用途・比較を通じて、セキュリティ強化と使いやすさが向上しています。主なポイントを以下にまとめます：
- User Poolはユーザー登録・認証に特化し、SSOやアプリケーション内でのセッション管理に最適。
- Identity PoolはIAMロール連携を通じた外部認証プロバイダーとの連携が可能で、匿名セッションも対応。
- 2026年以降のアップデートでは、OAuth 2.0のPKCE方式統一やトークン署名アルゴリズム変更など、セキュリティ強化が進められています。
- CloudTrailとの連携で、ユーザー活動ログの収集精度が向上し、監査要件も満たしやすくなりました。
開発者はこれらの違いと最新アップデート情報を踏まえ、自身のプロジェクトに最適なプール選定を行うことが重要です。