# Amazon Cognito token exchange เปิดแล้ว แลกโทเคนผู้ใช้เป็นโทเคนแคบลงให้บริการกับ AI agent

> Amazon Cognito token exchange เปิดให้ใช้แล้ว ตาม OAuth 2.0 RFC 8693 บริการหรือ AI agent แลกโทเคนผู้ใช้เป็นโทเคนใหม่ที่แคบลง ไม่ต้องส่งโทเคนเดิมต่อ

- ประเภท: ข่าว · หมวด: Cloud
- เผยแพร่: 2026-11-13T15:07:00.000Z · อัปเดต: 2026-11-13T15:07:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/cloud/amazon-cognito-token-exchange-getderivedtoken/

## สรุปประเด็นสำคัญ

- AWS ประกาศ **Amazon Cognito token exchange** ตาม **OAuth 2.0 RFC 8693** เมื่อ **13 พฤศจิกายน 2026** (เวลาไทย) ใช้ได้ใน **ทุก AWS Region** ที่มี Cognito
- Amazon Cognito token exchange ใช้ได้เฉพาะ user pool **2 แผน** คือ **Essentials** และ **Plus** เรียกผ่าน API **GetDerivedToken** หรือผ่าน token endpoint ด้วย grant แบบ token-exchange
- โทเคนใหม่ถูกแคบลงเหลือ **ส่วนตัดกันของ 3 ชุด** คือ scope ที่ขอ scope ในโทเคนเดิม และ scope ที่ app client ออกได้ จึง **ไม่มีทางได้สิทธิ์มากกว่าเดิม**
- การแลกไม่ออก **refresh token** โทเคนที่ได้อายุสั้นและหมดเอง ถ้าแนบ **actor token** จะได้โทเคนที่มี claim `act` ให้บริการปลายทางรู้ว่ามีตัวกลางทำแทนผู้ใช้
- Cognito ตรวจลายเซ็น วันหมดอายุ และการถูกเพิกถอนของโทเคนเดิม เช่นหลัง global sign-out และผู้ใช้ต้องเปิดใช้งานและยืนยันแล้ว

Amazon Cognito token exchange เปิดให้ใช้แล้ว AWS ประกาศบนหน้า What's New (เวลาไทยเช้าวันที่ 13 พฤศจิกายน 2026) ว่า Amazon Cognito รองรับ OAuth 2.0 token exchange ตามมาตรฐาน RFC 8693 บริการหรือ AI agent ที่ทำงานแทนผู้ใช้จึงแลกโทเคนของผู้ใช้เป็นโทเคนใหม่ที่ผูกกับบริการปลายทางโดยเฉพาะ แทนการส่งโทเคนเดิมต่อไปให้ทุกบริการ

AWS เล่าปัญหาเดิมว่า บริการที่ต้องเรียกบริการอื่นแทนผู้ใช้ต้องส่งต่อโทเคนเดิมของผู้ใช้ หรือสร้างระบบออกโทเคนเองและดูแลเอง Cognito ช่วยงานสมัครและล็อกอินของเว็บ แอปมือถือ และ AI agent อยู่แล้ว Amazon Cognito token exchange จึงเพิ่มขั้นตอนที่อยู่ระหว่างล็อกอินกับการเรียกบริการหลังบ้าน

![ประกาศ Amazon Cognito now supports OAuth 2.0 token exchange บนหน้า What's New ของ AWS](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/amazon-cognito-token-exchange-getderivedtoken/cognito-token-exchange-whats-new.webp?v=e6909aef) _(ภาพ: Amazon Web Services (ภาพหน้าจอ))_

## Amazon Cognito token exchange ทำงานอย่างไร

เอกสารของ AWS อธิบายว่า แอปส่ง subject token คือโทเคนเดิมที่แทนผู้ใช้ และอาจส่ง actor token ที่แทนบริการที่เป็นผู้แลกได้ด้วย Cognito คืน issued token ซึ่งเป็น access token หรือ ID token มาตรฐานของ Cognito ที่บริการปลายทางตรวจแบบเดียวกับโทเคนของ user pool ทั่วไป

เรียกได้ 2 ทาง คือเรียก API `GetDerivedToken` ผ่าน AWS SDK โดยตรง หรือเรียกผ่าน token endpoint ด้วย grant แบบ token-exchange Amazon Cognito token exchange เป็นของ user pool ในแผน Essentials และ Plus และใช้ได้ในทุก AWS Region ที่มี Cognito ตามประกาศ

AWS ยกสถานการณ์ใช้งาน 3 แบบ

- **service-to-service delegation** บริการรับคำขอจากผู้ใช้แล้วต้องเรียกบริการหลังบ้าน จึงใช้โทเคนที่แคบลงเหลือสิทธิ์เท่าที่หลังบ้านต้องใช้
- **agent-based access** AI agent หรือตัวกลางทำงานแทนผู้ใช้ และบริการปลายทางต้องแยกได้ว่าคำขอมาจากผู้ใช้เองหรือจาก agent
- **audience binding** ออกโทเคนให้ชี้ไปที่ resource server เฉพาะ แทนโทเคนใช้ได้ทุกที่

## impersonation กับ delegation ใน Amazon Cognito token exchange ต่างกันอย่างไร

การแลกโทเคนมี 2 แบบ ขึ้นกับว่าแนบ actor token หรือไม่

| | impersonation | delegation |
| --- | --- | --- |
| actor token | ไม่แนบ | แนบ |
| โทเคนที่ได้ | แทนผู้ใช้โดยตรง ไม่มี claim `act` | มี claim `act` ระบุตัวกลางที่ทำแทนผู้ใช้ |
| บริการปลายทางเห็นอะไร | แยกไม่ออกจากคำขอที่ผู้ใช้ทำเอง | ตรวจ `act` เพื่อใช้นโยบายเฉพาะตัวกลาง และบันทึก audit log ได้ |

claim `act` ตามนิยามของ RFC 8693 ระบุตัวตนของตัวกลางด้วย identity claim เท่านั้น สำหรับงาน AI agent ที่ต้องรู้ว่าใครเป็นคนสั่งจริง delegation จึงเป็นแบบที่ให้ร่องรอยครบกว่า

![หน้าเอกสาร Exchanging tokens for downstream services ของ Amazon Cognito Developer Guide](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/amazon-cognito-token-exchange-getderivedtoken/cognito-token-exchange-docs.webp?v=ec3be6b9) _(ภาพ: AWS Documentation (ภาพหน้าจอ))_

## โมเดลความปลอดภัยของ Amazon Cognito token exchange

เอกสารออกแบบ Amazon Cognito token exchange ให้โทเคนที่แลกมาไม่มีทางให้สิทธิ์เกินโทเคนเดิมและไม่อยู่ยาวกว่าเดิม

- **ลดสิทธิ์อย่างเดียว** scope ในโทเคนใหม่คือส่วนตัดกันของ 3 ชุด ได้แก่ scope ที่ขอ scope ในโทเคนผู้ใช้ และ scope ที่ app client ออกได้ เพิ่ม scope ที่โทเคนเดิมไม่มีไม่ได้
- **ไม่มี refresh token** โทเคนที่ได้อายุสั้นและหมดเอง จึงใช้ออกโทเคนต่อไม่ได้เมื่อโทเคนต้นทางใช้ไม่ได้แล้ว
- **ตรวจโทเคนเดิม** Cognito ตรวจลายเซ็นและวันหมดอายุ ตรวจการเพิกถอน เช่น จาก global sign-out และผู้ใช้ต้องเปิดใช้งานและยืนยันตัวตนแล้ว
- **audience และ resource** ผูกโทเคนใหม่กับ audience และ resource อย่างละหนึ่ง โดย Cognito ตรวจกับ resource server ที่ลงทะเบียนใน user pool

![ภาพทางเดินระหว่างตู้แร็กในศูนย์ข้อมูลของ AWS ภาพประกอบเรื่องบริการหลังบ้านที่เรียกกันด้วยโทเคน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/amazon-cognito-token-exchange-getderivedtoken/cognito-token-exchange-aws-aisle.webp?v=956e8420) _(ภาพ: Amazon)_

## ผลต่อองค์กรไทยที่จะใช้ Amazon Cognito token exchange

ทีมที่ใช้ Cognito เป็นระบบล็อกอินของแอปและมีหลายบริการหลังบ้านได้ประโยชน์จาก Amazon Cognito token exchange ทันทีเรื่องการลดสิทธิ์ของโทเคนที่ส่งต่อ ข้อควรทำตามเอกสารของ AWS มีดังนี้

1. **ตรวจแผนของ user pool** Amazon Cognito token exchange ต้องใช้แผน Essentials หรือ Plus ถ้ายังอยู่แผน Lite ต้องย้ายแผนก่อน ดูส่วนต่างของแผนได้ที่[ข่าว Cognito SLA 99.99% ของแผน Plus](/cloud/amazon-cognito-sla-99-99-plus-plan/)
2. **ลงทะเบียน resource server ให้ครบ** เพราะ Cognito ตรวจ audience และ resource กับรายการที่ลงทะเบียนไว้
3. **เลือก delegation สำหรับ AI agent** เพื่อให้ audit log แยกคำสั่งของ agent ออกจากการกระทำของผู้ใช้
4. **จำกัด scope ที่ app client ออกได้ให้แคบ** เพราะโทเคนใหม่ได้ไม่เกินส่วนตัดกันนี้

ประกาศและเอกสารที่ใช้เขียนข่าวนี้ไม่ได้ระบุราคาแยกสำหรับการแลกโทเคน ควรตรวจหน้าราคา Amazon Cognito ของ AWS ก่อนใช้งานจริง

## บริการของ THAI DATA CLOUD ที่เกี่ยวข้อง

ระบบล็อกอินที่ส่งโทเคนผ่านหลายบริการต้องมีคนดูแลการตั้งค่าสิทธิ์และเฝ้าระวังอย่างต่อเนื่อง [Managed Cloud Services](https://msp.thaidata.cloud/services/managed-cloud-services/) ของ THAI DATA CLOUD ดูแลระบบคลาวด์ขององค์กรตั้งแต่ติดตั้ง บริหาร ไปจนถึง Monitoring ตลอด 24 ชั่วโมง ให้ทีมไอทีภายในโฟกัสงานหลักได้ (THAI DATA CLOUD เป็นผู้ดำเนินงานเว็บไซต์นี้)

ติดตามข่าว AWS และคลาวด์ได้ที่[หมวดคลาวด์](/cloud/)

## คำถามที่พบบ่อย

### Amazon Cognito token exchange คืออะไร?

Amazon Cognito token exchange คือความสามารถที่ AWS ประกาศเมื่อ 13 พฤศจิกายน 2026 (เวลาไทย) ตามมาตรฐาน OAuth 2.0 RFC 8693 ให้บริการที่รับคำขอจากผู้ใช้แลกโทเคนของผู้ใช้เป็นโทเคนใหม่ที่ผูกกับบริการปลายทางหนึ่งแห่งและมีสิทธิ์แคบลง แทนการส่งโทเคนเดิมต่อ

### Amazon Cognito token exchange ใช้ได้กับแผนไหน?

ใช้ได้กับ user pool ในแผน Essentials และ Plus เท่านั้นตามเอกสารของ AWS ส่วนแผน Lite ไม่อยู่ในรายการ และเปิดให้ใช้ในทุก AWS Region ที่มี Amazon Cognito

### โทเคนที่ได้จาก Amazon Cognito token exchange มีสิทธิ์มากกว่าโทเคนเดิมได้หรือไม่?

ไม่ได้ scope ในโทเคนใหม่คือส่วนตัดกันของ scope ที่ขอ scope ในโทเคนผู้ใช้เดิม และ scope ที่ app client ได้รับอนุญาตให้ออก ถ้าขอ scope A และ B แต่โทเคนเดิมมีแค่ A โทเคนใหม่จะมีแค่ A และการแลกไม่ออก refresh token

### impersonation กับ delegation ใน Amazon Cognito token exchange ต่างกันอย่างไร?

ถ้าไม่แนบ actor token จะเป็น impersonation โทเคนใหม่แทนผู้ใช้โดยตรงและไม่มี claim act บริการปลายทางแยกไม่ออกว่าผู้ใช้ทำเอง ถ้าแนบ actor token จะเป็น delegation โทเคนมี claim act ระบุตัวกลางที่ทำแทนผู้ใช้ ช่วยตั้งนโยบายและบันทึก audit log ได้


## แหล่งอ้างอิง

- [Amazon Cognito now supports OAuth 2.0 token exchange](https://aws.amazon.com/about-aws/whats-new/2026/11/cognito-token-exchange/) — Amazon Web Services
- [Exchanging tokens for downstream services](https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pools-token-exchange.html) — AWS Documentation (Amazon Cognito Developer Guide)
- [GetDerivedToken API reference](https://docs.aws.amazon.com/cognito-user-identity-pools/latest/APIReference/API_GetDerivedToken.html) — AWS Documentation
- [OAuth 2.0 Token Exchange (RFC 8693)](https://www.rfc-editor.org/rfc/rfc8693) — RFC Editor