在Lambda函数中获取Cognito用户池标识

Question

我有一个Lambda函数来处理由API网关触发的POST请求。后者设置为通过Cognito用户池授权器进行授权。授权有效-如果我传递了一个用户的ID令牌，请求就会被处理，如果我不传递，我就会得到一个401。

但是，我无法在Lambda函数中获取授权用户的身份。所有的文档都让我相信它应该在上下文中，但它不是。我也无法将它映射到上下文中。此外，似乎也没有一种方法可以查询给定ID令牌的用户的用户池。

我是否需要一个身份池来完成此任务？如果是这样的话，这是如何工作的？为什么API网关不能自动传递用户的身份？

Answer 1

使用事件。请求上下文。授权人。声称。sub获取用户的Cognito标识，该标识基本上是用户的ID。这假设您正在使用与API网关和Lambda的代理集成。

下面是一个使用Node；的简单示例，其他SDK应该类似。

exports.handler = async (event, context, callback) => {
    let cognitoIdentity = event.requestContext.authorizer.claims.sub

    // do something with `cognitoIdentity` here

    const response = {
        statusCode: 200,
        headers: {
            "Access-Control-Allow-Origin": "*"
        },        
        body: JSON.stringify("some data for user"),
    };
    return response;
};

Answer 2

这取决于您是否在lambda的集成请求中选择了使用Lambda代理集成。如果您设置了它，那么所有令牌的声明将在event.requestContext.authorizer.claims上传递。

如果未使用Lambda代理集成，则需要在集成请求中为Lambda使用主体映射模板。内容类型为application/json的示例模板如下：

"context" : {
    "sub" : "$context.authorizer.claims.sub",
    "username" : "$context.authorizer.claims['cognito:username']",
    "email" : "$context.authorizer.claims.email",
    "userId" : "$context.authorizer.claims['custom:userId']"
}

当然，这需要在用户池中有一个名为userId的自定义属性，并且客户端可以读取这些属性。

不能对aws认知IDP API使用id令牌，需要使用访问令牌。但是，如果您的lambda被授权，您可以使用AdminGetUser调用用户名。