AWS AppSync授权

Question

我计划使用AWS Appsync迁移lambda函数中的graphQLendpoint，该函数由通过API网关的POST触发。我研究AppSync主要是因为订阅，我无法使用Lambda函数创建订阅。

我的身份验证机制基于Auth0，使用无密码，我的授权机制基于DynamoDB中几个表的数据，并嵌入到graphQL解析器中，这是Facebook和Apollo推荐的。

更重要的是，它基于请求的每一部分，其中包括检查调用查询/变异的权限，然后在触发相应的解析程序时检查查询中包含的不同实体。

据我所知，这在AWS AppSync中是不可能的，因为它强制使用Cognito。也许某种自定义授权程序（如API Gateway）可以完成这项工作，但它仍然不确定，因为它需要在图形QL请求解析期间执行多次（请记住，除了初始操作检查之外，每个嵌套对象执行一次）。

也许我可以使用通知和刷新查询来解决订阅问题，但我也必须研究一下。

还有谁有这个问题吗？你打算怎么做，或者已经解决了？

任何帮助都将不胜感激

卡洛斯

Answer 1

此时，AppSync支持使用正在查询的资源中的元数据进行AuthZ检查，或者您可以传递数据并在解析器中进行检查。例如，您可以将授权元数据存储在DynamoDB表上，并对其进行检查，然后返回数据，但不能检查单独的数据源。然而，由于AppSync仍然不是GA，未来将有更多的身份验证方法开放。

同时，一些选择：

>

使用Lambda作为解析器，并在读取/写入DynamoDB之前进行AuthZ检查

将Auth0标识与AWS IAM联合，并在冲突解决程序中使用这些凭据作为检查。AppSync支持这些凭据。

检查您通过的AuthZ检查解析器中的JWT声明。您可以使用Velforce语言中的$context.identity.claims.attrib。

随着服务的发展，请在未来几个月继续查看AppSync文档页面，以获取更多选项。

编辑AppSync授权方案和用例的文档中现在有一个指南：https://docs.aws.amazon.com/appsync/latest/devguide/security-authorization-use-cases.html

编辑#2有一篇新的博文，介绍了如何将多个数据源与您的解析器一起用于高级授权场景：https://hackernoon.com/graphql-authorization-with-multiple-data-sources-using-aws-appsync-dfae2e350bf2