如何使用Cognito拒绝访问API网关上的终结点

Question

通过使用“拒绝”策略并将其附加到具有身份池的角色，是否可以使用Cognito创建特定于用户的权限？

我有一个API，我想限制我的用户池中特定用户对某些endpoint的访问。我创建了以下策略：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": [
                "arn:aws:execute-api:REGION:*:API_ID/*/*/*"
            ]
        }
    ]
}

然后，我将此策略附加到一个网络身份角色，并将此角色分配给我的用户池中的一个组。我将Cognito提供的身份令牌传递给Cognito授权程序，不幸的是，即使是该组中的用户也可以访问终结点。

有没有一种方法可以仅使用Cognito提供的ID或访问令牌来为API授予特定于用户的权限？如果没有，那我该怎么办？

Answer 1

使用API网关（使用ID令牌）的Cognito授权程序不会检查分配给用户的声明或IAM策略。如果在向API发出请求时传递ID Token，API网关仅检查ID Token是否有效。对于您的使用情况，您可以在API上启用基于IAM的身份验证或使用Lambda授权程序。在Lambda授权程序中，您可以传递Cognito令牌，对其进行解码，并根据组信息为特定请求生成允许或拒绝策略。