То, что Мадео заявил в комментариях, является правильной концепцией. Identity ID / Identity Pool ID сам по себе не является конфиденциальной информацией. Идентификационный идентификатор определяется как уникальный идентификатор для пула идентификаторов, и им можно управлять на стороне клиента вашего приложения.
В целях безопасности вам необходимо убедиться, что токен JWT из пула пользователей передается на вызов API Identity Pool безопасным способом (или откуда вы получаете токен, будь то Facebook / Twitter / и др c).