(Cognito)OpenID JSON Web Key (JWK) の自動ローテーション対応について

「拡張認証フロー」を実装すれば対応済みと考えて問題ないです。 理由を記載します。

今回ローテーションの対象となっている「署名キー」というのは基本 (Classic) 認証フローの中でGetOpenIdTokenを使用した際に得られる「OpenIdToken」が正当なものであるかを検証するために使用するものです。この署名キーはJWKS URIというURIを含むURLから取得されます。 基本 (Classic) 認証フローの場合は、ここで取得した「署名キー」を使って「OpenIdToken」を検証する処理（プログラム）を自分で実装する場合があります。この部分の実装で例えば、「署名キー」がローテーションされないことを前提としてハードコーディングしている場合などに今回の変更の影響を受ける形となります。

対して、拡張 (簡略化) 認証フローの場合は、GetCredentialsForIdentityというリクエストがGetOpenIdTokenを含む処理を行うため、「OpenIdToken」を検証する処理を実装する必要はない認識です。そのため拡張 (簡略化) 認証フローであれば問題ないと言うことができます。