Cognitoのアカウントロック！ロックアウトされない？！

こんな悩みを解決します。

• 本記事の内容

• Cognitoのアカウントロックの仕様について

• 本記事の執筆者

今回は、Cognitoのアカウントロック機能について解説します。

Cognitoのアカウントロック機能

結論、Cognitoにアカウントロック機能はあります。

アカウントロック機能はある？！

Cognitoのアカウントロック機能について、AWSは公式に明言していません。

ただし、仕様について問い合わせると意外と答えてくれます(笑)

AWS側の返答

AWS側の返答を要約すると、以下の通りです。

• アカウントロック機能は存在する
• ロック期間はサインインに失敗した回数に応じて指数関数的に増加するような仕組みになっている
• ログイン試行可能回数やロック解除までの時間などは教えてくれない
• アカウントロックを解除する仕組みはない

AWSが公式に明言していない理由

AWSが公式に明言していない理由は、「明言してしまうと悪い人たちが良からぬことをしでかす可能性があるから」です。

実際に試してみる

実際にアカウントロックがかかるのかを試してみました。

結果、以下のエラーが返ってくることは分かったのですが、このエラーが返ってきた後、普通にログインできる時もあればログインできない時もありました。

code	NotAuthorizedException
name	NotAuthorizedException
message	Password attempts exceeded

アカウントロック機能は「〇回アクセスしたらロックがかかる」などの条件がありますが、「〇秒間に〇回」といった具合に秒数も考慮しなくてはならないため、結構考えることが多めです。

Password attempts exceededとは

Password attempts exceededは、直訳すると「パスワード試行回数を超えました。」になります。

Cognito×ブルートフォース攻撃

そもそもアカウントロック機能が必要な理由として、「ブルートフォース攻撃や辞書型攻撃を防ぐため」という理由があります。

まとめ

今回は、Cognitoのアカウントロック機能について解説しました。

良く分からない時はAWSに問い合わせてみるのがおすすめです。

ではまた！