nodejs中lambda函数内的AWS IAM授权

Question

我有一个受IAM授权保护的API，它是一个资源策略，允许IAM用户integ用户调用API。

现在我想写一个lambda函数来调用同一个API。假设我可以访问IAM访问密钥和密码(通过环境变量或AWS Secret Manager)，我如何对用户进行IAM授权，以便它可以成功地调用API？

用于调用相同API的示例代码（未经IAM授权）：

var https = require('https');

exports.handler = (event, context, callback) => {
    const options = {
        host: process.env.VPCE_DNS_NAME,
        port: 443,
        path: "/status",
        method: 'GET',
        headers: {
          'Host':process.env.API_GW_ENDPOINT
        }
      };

    https.request(options, (res) => {
      let data = '';
      res.on('data', (d) => {
       data += d;
        process.stdout.write(d);
      });
      res.on('end', () => {
         callback(null, JSON.parse(data));
      });
    }).on('error', (e) => {
      callback(null, e);
    }).end();
};

Answer 1

我们需要构建带有三个附加参数的常规nodejs请求选项

服务：Api Gateway 的“execute-api”

< code >地区:“美国东部-1” AWS地区。

body： postData，通常我们传递bodyreq.write，我们在选项中也需要它，因为签名需要它。

最后是< code>aws4.sign(...)传递给< code>request。

所有. ign方法所做的就是添加4个额外的标头X-Amz-Content-Sha256，X-Amz-Security-Token，X-Amz-Date和Authoration

var aws4 = require("aws4");
var https = require("https");

const requestBody = { name: "test" };
var postData = JSON.stringify(requestBody);

var options = {
  method: "GET",
  hostname: "abcdefgh.execute-api.us-east-1.amazonaws.com",
  path: "/status",
  headers: {
    "Content-Type": "application/json",
  },
  service: "execute-api",
  region: "us-east-1",
  body: postData,
  maxRedirects: 20,
};

const signedRequest = aws4.sign(options, {
  secretAccessKey: "abcadefghijknlmnopstabcadefghijknlmnopst",
  accessKeyId: "ABCDEFGHIJKLMNOPQRST",
  sessionToken: "this is optional ==",
});
console.log(signedRequest);
var req = https.request(signedRequest, function (res) {
  var chunks = [];

  res.on("data", function (chunk) {
    chunks.push(chunk);
  });

  res.on("end", function (chunk) {
    var body = Buffer.concat(chunks);
    console.log(body.toString());
  });

  res.on("error", function (error) {
    console.error(error);
  });
});
req.write(postData);
req.end();

由于此调用是从 lambda 整个对象进行的，因此可以跳过键，只需调用 aws4.sign（options），它应使用来自环境变量。