Учётные записи и SSO: Часть 5 — AWS Cognito и Microsoft Entra ID

AWS Cognito и Microsoft Entra ID — службы идентификации двух крупнейших облачных платформ. Обе закрывают вход пользователей и выдачу токенов, но рассчитаны на разное: Cognito — на пользователей ваших приложений в AWS, Entra ID — на сотрудников компании и её доступ к Microsoft 365 и корпоративным системам.

AWS Cognito

Cognito состоит из двух частей:

• пулы пользователей (User Pools) — хранилище учётных записей с регистрацией, входом, MFA и выдачей токенов OpenID Connect; сюда же подключаются внешние провайдеры по SAML и OIDC и соцсети;
• пулы идентификации (Identity Pools) — выдача пользователям временных учётных данных AWS для прямого доступа к сервисам вроде S3 или DynamoDB.

Для пулов пользователей есть три тарифа (цены на сентябрь 2026 года по данным AWS):

Пользователи, входящие через внешнего провайдера (SAML или OIDC), оплачиваются отдельно: $0,015 за MAU сверх 50 бесплатных. SMS и письма для подтверждения оплачиваются по тарифам SNS и SES.

Сильные стороны: глубокая связка с Lambda, API Gateway и другими сервисами AWS, масштабирование без участия администратора, редактор страниц входа.

Ограничения: Cognito удобен в основном внутри AWS; настройка потоков и триггеров не самая наглядная; переезд с него требует выгрузки пользователей, причём пароли не выгружаются.

Microsoft Entra ID

Entra ID — новое имя Azure Active Directory. О переименовании объявили 11 июля 2023 года, названия тарифов сменились 1 октября 2023 года; функции, цены и все адреса для входа остались прежними.

• Entra ID Free — входит в подписки Azure, Microsoft 365, Dynamics 365 и Intune: единый вход в SaaS-приложения и MFA.
• Entra ID P1 — $7 за пользователя в месяц при годовой подписке, входит в Microsoft 365 E3 и Business Premium; добавляет условный доступ и гибридную связку с локальным Active Directory.
• Entra ID P2 — $10 за пользователя в месяц, входит в Microsoft 365 E5; добавляет защиту учётных записей по уровню риска и управление привилегированным доступом.

Для пользователей клиентских приложений Microsoft предлагает Entra External ID с оплатой по числу активных пользователей и бесплатным объёмом. Прежний продукт для этой задачи, Azure AD B2C, с 1 мая 2025 года не продаётся новым клиентам, существующие клиенты продолжают им пользоваться.

Сильные стороны: единый вход во всё, что связано с Microsoft 365, условный доступ, связка с локальным Active Directory через Entra Connect, большой каталог готовых интеграций с SaaS.

Ограничения: Entra ID ориентирован на сотрудников организации, лицензирование сложное, а без экосистемы Microsoft большинство его преимуществ теряется.

Сравнение

Можно ли использовать в России

Для российских компаний оба сервиса практически недоступны.

• Microsoft приостановила новые продажи в России 4 марта 2022 года.
• Оплата AWS производится картой, а Visa и Mastercard, выпущенные в России, за рубежом не работают.
• Персональные данные. С 1 июля 2025 года первичный сбор персональных данных граждан России допускается только в базы на территории страны, а регистрация пользователей в зарубежном облаке этому не соответствует.

Если вы работаете с российскими пользователями, альтернатива — собственный сервер аутентификации, например Keycloak, а для учётных записей на Linux-серверах — FreeIPA.

Типичные ошибки

• Выбрать Cognito для проекта вне AWS только из-за бесплатного объёма.
• Считать Entra ID сервисом для регистрации клиентов: для этого есть External ID, а Azure AD B2C новым клиентам уже не продаётся.
• Не планировать выгрузку пользователей: из Cognito пароли не выгружаются, переезд требует сброса паролей или постепенной миграции при входе.

Когда выбирать

Cognito — если приложение уже работает в AWS и нужны регистрация и вход его пользователей. Entra ID — если компания живёт в Microsoft 365 и нужно управлять доступом сотрудников. Для российского проекта оба сервиса недоступны, и выбирать приходится среди решений, которые размещаются на собственном сервере.