AWS API 网关授权方：Cognito + IP 白名单

Question

假设我有一个 Admin API，我想使用 Cognito 来验证用户是否在特定组中 + 来自白名单 IP，我应该怎么做？

我说得对吗：

• 我不能使用 Cognito 授权方，因为它只检查用户是否在用户池中，仅此而已
• 如果我需要编写自定义授权者，我需要关注https://aws.amazon.com/blogs/compute/using-enhanced-request-authorizers-in-amazon-api-gateway/，对吗？我无法使用 IAM 方式进行 IP 白名单 https://lobster1234.github.io/2018/04/14/amazon-api-gateway-ip-whitelisting/

Answer 1

是的。对于您的用例，您需要使用执行以下操作的自定义授权方，

• Validation of Cognito Token
• 验证 Cognito 用户是否属于特定组 (Or use Cognito UserPool Groups)
• 动态生成API Gateway Policy 授予授权端点。
• 检查列入白名单的 IP（Need to allow Enhanced Request Headers to the Custom Authorizer 以读取请求者的 IP）。如果只有少数手动添加且不经常添加的用户及其 IP 地址，您可以考虑使用 Resource Policy 的 Amazon API Gateway IP 白名单。