AWS 自定义授权 lambda 以批准 Api Gateway 服务代理操作？

Question

我想创建一个通过服务代理连接到 s3 的 Api 网关路由。

只有具有特定权限（存储在 DynamoDb 表中）的经过身份验证和授权的用户（来自 Cognito 用户池）才能上传文件。

由于我没有使用 S3 作为服务代理而不是 lambda，因此可以将针对 Dynamodb 的代码检查放在 Custom Authorizer lambda 中吗？ （在验证令牌之后发送成功回调之前）。

查询很简单，根据 Cognito 用户唯一 ID，如果用户被授权上传，我会检查该用户的表。

我不希望通过 lambda 函数完成上传，因为有些文件很大。

谢谢

Answer 1

你也可以考虑

• 在 S3 存储桶前面设置 CloudFront。
• 在 API Gateway 上使用 IAM 授权。
• 编写一个 Lambda 端点，在请求上下文中针对 Dynamodb 检查 Cognito ID。
• 从 Lambda 返回Signed URL，供授权用户直接从浏览器客户端上传文件到 S3。