Amazon Cognito が OAuth 2.0 トークン交換（RFC 8693）をサポート、AIエージェントや MCP サーバーでの委任アクセスが容易に

公式発表で確認できる事実

• Amazon Cognito が OAuth 2.0 トークン交換（RFC 8693）をサポートしました。
• サービスや AI エージェントがユーザーのトークンを、特定のダウンストリームサービス向けにスコープを絞った新しいトークンへ交換できます。
• 発行される新しいトークンの特徴は以下のとおりです。
  • 元のトークンより狭いスコープを持つ
  • 単一のオーディエンスに紐付けられる
  • リフレッシュトークンを含まない
• アクタートークンを含めると、Cognito は仲介者を識別する act クレームをトークンに付加します。これにより、ダウンストリームサービスはエージェントがユーザーの代わりに行ったリクエストと、ユーザーが直接行ったリクエストを区別できます。
• ユースケース例として、Model Context Protocol（MCP）サーバーがユーザーのトークンをバックエンド API 呼び出し用の狭いスコープのトークンへ交換し、act クレームに MCP サーバーをアクターとして記録するシナリオが挙げられています。
• トークン交換はトークンエンドポイント、または新しい GetDerivedToken API を通じて利用できます。
• 本機能は Essentials および Plus フィーチャープランで利用可能です。
• Amazon Cognito が利用可能なすべての AWS リージョンで提供されます。
• 詳細は Amazon Cognito Developer Guide の「exchanging tokens for downstream services」を参照してください。

当サイトの考察

トークン交換は、マイクロサービスアーキテクチャや AI エージェントが普及する中で重要性が増しているパターンです。特に MCP サーバーが明示的にユースケースとして挙げられており、LLM ベースのエージェントが外部 API を呼び出す際の認証フローを標準化する手段として活用が期待されます。独自のトークン発行ロジックを自前で実装・維持していた場合は、Cognito のマネージド機能への移行を検討する価値があります。

確認できていない事項

• 東京リージョン（ap-northeast-1）および大阪リージョン（ap-northeast-3）での提供有無は資料に明記されていません（「Amazon Cognito が利用可能なすべての AWS リージョン」とのみ記載）。
• Essentials および Plus フィーチャープランの具体的な料金は資料に記載されていません。
• GetDerivedToken API の具体的なパラメータや制限事項は資料に記載されていません。
• 東京（ap-northeast-1）と大阪（ap-northeast-3）での提供は、公式記事からは確認できていません。

この記事は、AWS 公式の発表をもとに AI が作成し、自動で公開しています。