# Amazon Cognito、OAuth 2.0のトークン交換に対応

> ユーザーのトークンを、対象を絞った単一オーディエンス向けのトークンに交換可能に。元のトークンを転送せずに、サービスがユーザーに代わって処理できる。

Oossa · 2026-11-13 · https://oossa.com/ja/amazon-cognito-adds-oauth-2-0-token-exchange

Amazon Cognitoが、RFC 8693で定義されたOAuth 2.0のトークン交換に対応した。この機能により、サービスやAIエージェントはユーザーのトークンを、スコープをより限定し、リフレッシュトークンを含まない新しいトークンに交換できる。交換後のトークンには仲介者を識別するactクレームが含まれ、下流のサービスはリクエストがエージェント経由で届いたことを確認できる。トークン交換は標準のトークンエンドポイント、または新しいGetDerivedToken APIから実行でき、Cognitoが稼働するすべてのAWSリージョンでEssentialsプランとPlusプランに提供される。

## 事実

- この機能は2026-11-12（「Thu Nov 12 2026」）に発表された。
- CognitoのEssentialsプランとPlusプランで、すべてのAWSリージョンに提供される。

## なぜ重要か

開発者はバックエンドサービスに用途を限定したトークンを渡せるため、エージェントがユーザーに代わって処理する際に、過剰な権限が付与されるリスクを抑えられる。

## 出典と参考資料

1. [Amazon Cognito now supports OAuth 2.0 token exchange](https://aws.amazon.com/about-aws/whats-new/2026/11/cognito-token-exchange/) – AWS, 2026-11-12

最終更新: 2026-11-13