使用 API 网关的 Cognito 用户池身份验证和授权答案

【问题标题】：Cognito User Pools authentication and authorization with API gateway使用 API 网关的 Cognito 用户池身份验证和授权
【发布时间】：2018-01-12 15:06:09
【问题描述】：

我正在尝试根据用户角色寻找身份验证和授权的方法。这是一个非常简单的用例，但我找不到简单的文档。

我有 rest api(java spring mvc,with dynamodb) 工作并且有 API 网关，我可以从中调用后端 api。

我使用了 API 网关的 congnito 用户池。所以我无法使用 api 方法附加用户池

问题。 1）如何为congnito用户池中的用户分配角色 2）是否有简单的方法来授权具有某些角色的用户调用在 aws api 网关中定义的 api？还是我必须编写自定义代码/lambda？

【问题讨论】：

标签： java amazon-web-services aws-api-gateway aws-cognito

【解决方案1】：

首先，cognito 用户池主要是一种身份验证解决方案，如果您打算授权用户，新的 cognito 用户池的users & group 功能会有所帮助。这主要用于单租户应用程序，其中特定用户可以在一个租户中，并且该用户属于单个组。

在 API Gateway 方面，您可以使用 IAM 身份验证，因为您可以将具有策略的不同角色附加到每个组，在该策略中，您可以从 API Gateway 授予对不同资源端点的访问权限。

【讨论】：