如何找出 AWS IAM 策略中实际设置为“${ ... }”的内容？

Question

我正在尝试使用 Lambda IAM 角色策略基于 Cognito 用户池限制对 Dynamo 数据库表中项目的访问。

在此过程中，我很难在下面的 Lambda IAM 政策中找到实际设置为“${cognito-identity.amazonaws.com:aud}”的内容。

 {
            "Effect": "Allow",
            "Action": [
                "dynamodb:Scan",
                "dynamodb:Query",
                "dynamodb:GetItem",
                "dynamodb:PutItem",
                "dynamodb:UpdateItem",
                "dynamodb:DeleteItem",
                "dynamodb:DescribeTable"
            ],
            "Condition": {
                "ForAllValues:StringEquals": {
                    "dynamodb:LeadingKeys": "${cognito-identity.amazonaws.com:aud}"
                }
            },
            "Resource": "arn:aws:dynamodb:ap-southeast-2:*:*"
        }

我假设它是应用程序客户端 ID 或身份池 ID，例如“ap-southeast-2:xxxxxxxx-aaaa-bbbb-cccc-123456789012”，但有没有办法输出实际设置为“$ {cognito-identity.amazonaws.com:aud}”在运行时确认？

我对 AWS 比较陌生。

更新 - 附加信息

就在通过 API 网关调用 Lambda 之前，我可以看到类似“xxxxxxxxnv0ff03e9joqh3om3h”（我的应用程序客户端 ID）之类的内容：

const session = await Auth.currentSession();
alert(session.idToken.payload.aud); //something like "xxxxxxxxnv0ff03e9joqh3om3h"

但是，我在使用应用程序客户端 ID 的 Lambda DynamoDB 查询中遇到 AccessDeniedException。

ExpressionAttributeValues: {
  ":partitionkey": "xxxxxxxxnv0ff03e9joqh3om3h",
},

我可以通过将 IAM 政策更改为：

"Condition": {
                "ForAllValues:StringEquals": {
                    "dynamodb:LeadingKeys": "123abc"
                }
            },

我的 Lambda DynamoDB 查询：

ExpressionAttributeValues: {
  ":partitionkey": "123abc",
},

我也尝试过 Cognito 身份池 ID，但没有成功。

Answer 1

aud 和 sub 的映射值是特定于提供商的，outlined in the documentation.

在 Cognito 用户池联合的情况下，它将设置为客户端 ID。