c3.6 顧客 ID を保護する
認証を自作しないでください。自前のログインページは SQL インジェクションや認証の不備を招きがちです。顧客のサインインには Amazon Cognito のようなマネージド ID サービスを使い、ログインエンドポイントに AWS WAF のアカウント乗っ取り対策を追加します。
実装ガイダンス
マネージドの顧客 ID サービスを使う
自作の認証コードは脆弱性の頻繁な原因です。ユーザーテーブルに対する SQL インジェクションや、その他の認証の不備などです。顧客（CIAM）のサインインには Amazon Cognito を使います。標準ベース（SAML、OpenID Connect、OAuth 2.0）の安全な認証、オプションの MFA、シングルサインオン、ソーシャルフェデレーションを提供します。Okta、Auth0、Ping Identity などのパートナー ID プロバイダーも AWS Marketplace で利用できます。
ログインエンドポイントを防御する
AWS WAF Fraud Control – Account Takeover Prevention（ATP）を追加し、漏えい認証情報を使ったクレデンシャルスタッフィングやパスワード推測などの不正なサインイン挙動を遮断します。
全体像
How to validate
- 自作の認証コードではなく、マネージド ID サービス（Amazon Cognito など）を使っていますか？
- 顧客が MFA を利用できますか？
- ログインエンドポイントにアカウント乗っ取り対策（AWS WAF ATP または同等品）を追加しましたか？
Threats addressed
- 自作の認証ページは、顧客の認証情報を露出させたり回避したりしうる SQL インジェクションや認証不備攻撃の一般的な標的です。
- ログインエンドポイントに対するクレデンシャルスタッフィングやパスワード推測は、積極的にブロックしないと顧客アカウントの乗っ取りにつながります。
AWS サービス
Amazon Cognito 
AWS WAF 料金
Cognito は Lite・Essentials・Plus の各機能プランで月間アクティブユーザー（MAU）ごとに課金されます。Essentials 階層（新規ユーザープールの既定）には 10,000 MAU の無料枠が含まれます。Cognito の料金を参照してください。WAF ATP は月額料金に加え、分析したログイン試行 1,000 件あたりの料金がかかります。AWS WAF の料金を参照してください。