适用于不同用户角色的 AWS Serverless Protect API 路径

Question

现在，关于 AWS 的所有信息都让我头疼不已。 :) 所以我需要你的帮助。

我在 AWS 上有以下架构：API Gateway、Lambda、Cognito。我正在使用无服务器框架来配置所有内容。 在 Lambda 上部署了几个函数。假设 API 和函数如下：

GET /user
GET /vehicle
POST /vehicle

我有两种类型的用户 A 和 B。A 是管理员，应该可以访问所有内容，但 B 仅限于某些路径，例如

GET /user >>> only A
GET /vehicle >>> B
POST /vehicle >>> only A

如何使用 Cognito、API Gateway 和 Lambda 实现这一目标。

到目前为止我发现的信息/想法是：

• 可以使用不同的 IAM 角色（例如“普通用户”和“管理员”）
  • 这里我不知道在哪里以及如何将用户（存储在 Cognito 中）分配给某些角色（source1、source2）
• 可以使用自定义授权者 (source)
  • 在这里我只能找到使用 Auth0.. 但我想使用 Cognito 的示例
• 在 Cognito 池上使用 Pre-Token 触发器来更新令牌中的声明 (source)

最好的方法是什么？还是有更好的解决方案？ 不过，一个很好的例子会很好。到目前为止，我只找到了大约 50 行代码的示例，这不适合我的情况。所以实际上我的问题可能是我不知道如何以及从哪里开始..

Answer 1

这可能有点偏颇，因为我过去曾使用过自定义授权方。 但它们可能是您提到的那些最灵活的解决方案。

在有 cognito 授权方之前，我实际上已经将自定义授权方与 cognito 用户池一起使用。

当时这个https://aws.amazon.com/blogs/mobile/integrating-amazon-cognito-user-pools-with-api-gateway/ 帮助了我很多开始。

后来我发现，一旦我进行了大量验证并且用户权限不会经常更改，我应该利用授权方发送的策略的缓存。为此，我必须发送一个策略作为响应，该策略将涵盖经过身份验证的用户允许调用的所有端点。

编辑： 在自定义授权者上，您可以check the user information by calling cognito。之后，如果它是默认用户，您可以为用户提供策略

{   "principalId": "yyyyyyyy", // The principal user identification associated with the token sent by the client.   "policyDocument": {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Action": "execute-api:Invoke",
        "Effect": "Allow|Deny",
        "Resource": "arn:aws:execute-api:{regionId}:{accountId}:{appId}/{stage}/GET/user"
      }
    ]   } }

对于管理员，您只需发送另一个策略

{
  "principalId": "yyyyyyyy", // The principal user identification associated with the token sent by the client.
  "policyDocument": {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Action": "execute-api:Invoke",
        "Effect": "Allow|Deny",
        "Resource": "arn:aws:execute-api:{regionId}:{accountId}:{appId}/{stage}/GET/user"
      },
   {
        "Action": "execute-api:Invoke",
        "Effect": "Allow|Deny",
        "Resource": "arn:aws:execute-api:{regionId}:{accountId}:{appId}/{stage}/*/vehicle"
      }
    ]
  }
}