具有认知授权的AWS API网关

Question

目前，我正在开发无服务器架构，其中AWSAPI网关中有一组资源和方法。我计划将Cognito身份验证（用户池）和授权作为安全层添加到AWS API网关。

AWS API Gateway中有3个授权者，分别是IAM、Cognito用户池和custom lambda。

在我的用例中，登录和注册（身份验证）通过API网关使用Cognoto用户池。这是完美的作品。我的用户将获得应用程序客户端id和客户端密码以启用这两个进程。登录后，我的目的是让用户能够使用访问令牌（由用户池返回）通过api网关访问资源。

然而，我的用户可以有不同的角色，如管理员，所有者或客人。用户只能访问授权的api。我的方法是将用户放入用户池中的不同组，将IAM策略分配给组并启用身份池。这迫使我将api gateway中的授权类型改为IAM。和IAM要求每个请求都由签名V4签名。

这意味着每个请求都必须通过会话令牌、访问密钥和密钥（在使用联邦池的exchange id令牌后返回）注册，而不是使用基于访问令牌的方法。因此，在我的用例中，在用户通过api网关登录后，我的客户端应用程序（web/mobile/postman工具）必须生成签名并放入授权标头。是否有其他方法控制用户池组中的授权，但在api网关中使用访问令牌？我的理解是，访问令牌（在授权头中）比复杂的签名过程更容易使用。

如果我错了，请纠正我。谢谢

Answer 1

您走在正确的轨道上，但您选择了在 AWS 上授权用户请求的路径之一。您正在使用 IAM 和身份池，因此，您将被迫使用 AWS 提供的签名 V4 对每个请求进行签名。

我建议根据我的经验，而不是选择自定义 Lambda 授权方而不是身份池。在这种情况下，您的身份验证将保持您已经构建的原样。但是，您可以创建一个 lambda 函数，而不是在 API 网关中将 IAM 应用为授权者，该函数将接收用户在请求中要在请求中授权的 API 网关的 ARN，并在您从用户池进行身份验证期间收到用户ID_TOKEN。

{
  ...
  "cognito:roles": [
    "arn:aws:iam::**********:role/addBookSellerRole"
  ],
  "exp": 1565758916,
  "iat": 1565755316,
  ...
}

您可以看到，您将从身份验证收到的 JWT 中ID_TOKEN获取角色数组。您可以使用此角色将附加的策略提取到此角色。按照本文档从角色中提取策略。

获得策略JSON后，您可以将其与请求中收到的方法的ARN与策略列表进行比较。这样，您必须生成一个允许或拒绝请求的策略文档。

要了解更多信息，请使用Cognito API Gateway IAM访问我的媒体博客授权。

Answer 2

这会有帮助吗？

在用户池中创建组，并将IAM角色分配给该组。

然后将用户添加到组。

更多留档：https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pools-user-groups.html