Amazon Cognitoが発行するトークンへClientMetadataを使って動的な情報を埋め込む方法

var clientMetadata = new Dictionary<string, string>
{
    { "organizationId", "org-12345" },
    { "userRole", "admin" }
};

/**
 * Pre Token Generation Lambda(V2.0)
 * 
 * ClientMetadataの内容をトークンのカスタムクレームに追加します。
 */
export const handler = async (event) => {
    console.log("Pre Token Generation Event:", JSON.stringify(event, null, 2));

    console.log("Trigger Source:", event.triggerSource);
    console.log("ClientId:", event.callerContext.clientId);

    // ClientMetadataを取得
    let clientMetadata = event.request.clientMetadata || {};
    console.log("Client Metadata:", JSON.stringify(clientMetadata, null, 2));

    // トリガーバージョンがV2.0の場合
    if (event.version === "2") {
        event.response = {
            claimsAndScopeOverrideDetails: {
                idTokenGeneration: {
                    claimsToAddOrOverride: {
                        "customKey1": clientMetadata.customKey1
                    }
                },
                accessTokenGeneration: {
                    claimsToAddOrOverride: {
                        "customKey1": clientMetadata.customKey1
                    }
                }
            }
        };
    }
    
    return event;
};

using Amazon.CognitoIdentityProvider;
using Amazon.CognitoIdentityProvider.Model;
using System.IdentityModel.Tokens.Jwt;
using Amazon.Extensions.CognitoAuthentication;
using Amazon.Runtime;

class Program
{
    static async Task Main()
    {
        var clientId = "XXXXXXXX"; // Cognito User PoolのApp Client IDを指定
        var userPoolId = "XXXXXXXX"; // Cognito User Pool IDを指定

        Console.WriteLine("=== Amazon Cognito デモ ===");

        await CustomSRPAuth(clientId, userPoolId);
    }


    static async Task CustomSRPAuth(string clientId, string userPoolId)
    {
        Console.Write("ユーザー名を入力してください: ");
        var userName = Console.ReadLine();

        Console.Write("パスワードを入力してください: ");
        var password = Console.ReadLine();

        // ClientMetadataを準備（トークンに埋め込みたい情報）
        var clientMetadata = new Dictionary<string, string>
        {
            { "customKey1", "customValue1" }
        };

        var provider = new AmazonCognitoIdentityProviderClient(new AnonymousAWSCredentials(), FallbackRegionFactory.GetRegionEndpoint());
        var userPool = new CognitoUserPool(userPoolId, clientId, provider);
        var user = new CognitoUser(userName, clientId, userPool, provider);

        var authRequest = new InitiateSrpAuthRequest
        {
            Password = password,
            ClientMetadata = clientMetadata  // トークンに埋め込みたい情報
        };
        
        // SDK内部で自動的にRespondToAuthChallenge APIが呼び出される
        AuthFlowResponse authResponse = await user.StartWithSrpAuthAsync(authRequest).ConfigureAwait(false);

        // 認証成功
        if (authResponse.AuthenticationResult != null)
        {
            Console.WriteLine("n認証成功！トークンを取得しました。");
            DisplayTokenInfo(authResponse.AuthenticationResult);
            return;
        }

        Console.WriteLine("n認証に失敗しました。");
    }

    static void DisplayTokenInfo(AuthenticationResultType authResult)
    {
        Console.WriteLine("n========== トークン情報 ==========");

        // IDトークンの情報を表示
        if (!string.IsNullOrEmpty(authResult.IdToken))
        {
            Console.WriteLine("n【IDトークンの属性情報】");
            var idTokenHandler = new JwtSecurityTokenHandler();
            var idToken = idTokenHandler.ReadJwtToken(authResult.IdToken);

            Console.WriteLine($"発行者 (Issuer): {idToken.Issuer}");
            Console.WriteLine($"対象者 (Audience): {string.Join(", ", idToken.Audiences)}");
            Console.WriteLine($"発行日時: {idToken.ValidFrom}");
            Console.WriteLine($"有効期限: {idToken.ValidTo}");
            Console.WriteLine($"nクレーム数: {idToken.Claims.Count()}");
            Console.WriteLine("nクレーム（属性情報）:");
            foreach (var claim in idToken.Claims)
            {
                Console.WriteLine($"  {claim.Type}: {claim.Value}");
            }
        }

        // アクセストークンの情報を表示
        if (!string.IsNullOrEmpty(authResult.AccessToken))
        {
            Console.WriteLine("n【アクセストークンの属性情報】");
            var accessTokenHandler = new JwtSecurityTokenHandler();
            var accessToken = accessTokenHandler.ReadJwtToken(authResult.AccessToken);

            Console.WriteLine($"発行者 (Issuer): {accessToken.Issuer}");
            Console.WriteLine($"発行日時: {accessToken.ValidFrom}");
            Console.WriteLine($"有効期限: {accessToken.ValidTo}");
            Console.WriteLine($"nクレーム数: {accessToken.Claims.Count()}");
            Console.WriteLine("nクレーム（属性情報）:");
            foreach (var claim in accessToken.Claims)
            {
                Console.WriteLine($"  {claim.Type}: {claim.Value}");
            }
        }

        // リフレッシュトークンの情報を表示（リフレッシュトークンはJWTではないため、存在確認のみ）
        if (!string.IsNullOrEmpty(authResult.RefreshToken))
        {
            Console.WriteLine("n【リフレッシュトークン】");
            Console.WriteLine($"リフレッシュトークンが発行されました（長さ: {authResult.RefreshToken.Length} 文字）");
        }

        Console.WriteLine("n===================================n");
    }
}

=== Amazon Cognito デモ ===
ユーザー名を入力してください: testuser
パスワードを入力してください: xxxxxxxx

認証成功！トークンを取得しました。

========== トークン情報 ==========

【IDトークンの属性情報】
発行者 (Issuer): https://cognito-idp.ap-northeast-1.amazonaws.com/xxxxxxxx
対象者 (Audience): xxxxxxxxxxxxxxxxxxxxxxxxxx
発行日時: 0001/01/01 0:00:00
有効期限: 2026/06/23 1:39:55

クレーム数: 11

クレーム（属性情報）:
  origin_jti: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  sub: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  aud: xxxxxxxxxxxxxxxxxxxxxxxxxx
  token_use: id
  customKey1: customValue1                                       ←追加した属性
  auth_time: 1782175195
  iss: https://cognito-idp.ap-northeast-1.amazonaws.com/xxxxxxxx
  cognito:username: testuser
  exp: 1782178795
  iat: 1782175195
  jti: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx

【アクセストークンの属性情報】
発行者 (Issuer): https://cognito-idp.ap-northeast-1.amazonaws.com/xxxxxxxx
発行日時: 0001/01/01 0:00:00
有効期限: 2026/06/23 1:39:55

クレーム数: 12

クレーム（属性情報）:
  sub: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  iss: https://cognito-idp.ap-northeast-1.amazonaws.com/xxxxxxxx
  client_id: xxxxxxxxxxxxxxxxxxxxxxxxxx
  origin_jti: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  token_use: access
  customKey1: customValue1                                       ←追加した属性
  scope: aws.cognito.signin.user.admin
  auth_time: 1782175195
  exp: 1782178795
  iat: 1782175195
  jti: xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx
  username: testuser

【リフレッシュトークン】
リフレッシュトークンが発行されました（長さ: 1664 文字）

===================================