Open4
Access tokenとid tokenの使い分け
Daisuke Saito開発者が ID トークンで犯す最も一般的な間違いの 1 つは、それを使用して API を呼び出すことです。
参考: id token と access token の違い
Daisuke Saitoapi accessのための権限情報をカスタムのユーザー属性に追加しないように気をつけること。
これはid tokenに付加される情報であり、APIの認証認可に使うものではない。
フロントエンドに権限を表示するために使うのであればOK
Daisuke Saitocognito は最近、access tokenにカスタムスコープが適用できるようになった。
APIの認可にはこちらを使うこと
Daisuke Saitoamplifyのドキュメントにも以下のように書いてある
IDトークンは、フロントエンドアプリケーション内でのみ使用することを意図しています。このトークンには個人を特定できる情報 (PII) が含まれており、リソースへのアクセスを許可するために使用しないでください。