如何在AWS Lambda中获取validate Cognito访问令牌以允许网关API调用？

Question

我想做的是设置我的Lambda函数的API网关，它将一些保存在DynamoDB中（或者其他我想只针对登录用户的东西）。但是我不明白如何验证AccessToken以及如何从中获取用户。

我在AWS论坛上找到了这篇文章，我决定尝试方法1。

Cognito用户池API网关API网关自定义授权器Cognito用户池访问令牌。

现在我已经登录用户：

var authenticationData = {
  Username : 'username', // your username here
  Password : 'password', // your password here
};
var authenticationDetails = new AWSCognito.CognitoIdentityServiceProvider.AuthenticationDetails(authenticationData);

var cognitoUser = new AWSCognito.CognitoIdentityServiceProvider.CognitoUser(userData);
cognitoUser.authenticateUser(authenticationDetails, {
  onSuccess: function (result) {
    console.log('access token + ' + result.getAccessToken().getJwtToken());
....

还有他的代币。我还在API调用中设置了自定义API网关自定义授权程序。

现在，我应该验证访问令牌，并决定是允许还是拒绝方法调用。但我不明白如何做到这一点，以及如何从令牌中检索用户？

Answer 1

对于Cognito用户池API网关API网关自定义授权程序Cognito用户池访问令牌

您应该创建Cognito Authorizer（在创建自定义授权者时作为选项提供），并链接您的用户池

通过SDK生成的idToken可以使用另一个lambdaendpoint（如登录endpoint）来完成，也可以使用认知移动sdk来生成。

Answer 2

您不需要API网关自定义授权程序。。。只是为了验证一个APIendpoint——转到它的方法请求，并选择AWS_IAM作为授权下拉列表。。默认情况下未选择任何选项。。。

当访问令牌发送到该终端时，它将自动检查访问令牌角色（在与认知服务通信后），并检查与角色相关的策略。

如果IAM策略允许调用此endpoint，AWS API将进一步执行它，否则它将返回403错误或某些错误

您不需要编写任何代码——除非您要应用一些完全不同的身份验证逻辑——这可以通过“API网关自定义授权程序”来实现

Answer 3

请看一下这篇博文中的示例代码：https://mobile.awsblog.com/post/Tx3JK25U7Z9EUIU/Integrating-Amazon-Cognito-User-Pools-with-API-Gateway