我如何从AWS Lambda调用AWS_IAM授权的API网关endpoint，谁的执行角色有权限这样做？

Question

我想调用一个AWS API网关endpoint，该endpoint的授权设置为AWS_。

我是否可以使用 Lambda 的当前执行角色对 API Gateway 的 HTTPS 请求进行签名？

编辑：

看看 http://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_use-resources.html，我也许可以使用SDK调用AcsuceRole来承担有权执行Api Gateway的角色，然后提取可用于对请求进行签名的密钥。

Answer 1

正如@Abhigna Nagaraja指出的，您可以用环境变量检索lambda执行的凭证。

如果使用Python，可以使用aws_requests_auth库对请求进行签名。您还可以查看文档，了解如何签署请求的完整示例。

以下是关于如何签署来自lambda的请求的片段：

import json
import requests
import os
from aws_requests_auth.aws_auth import AWSRequestsAuth


def lambda_handler(event, context):
    api_id = 'XXXXXXXXX'  # Replace with your API Gateway Id
    api_url = 'https://{}.execute-api.eu-west-1.amazonaws.com/dev/hello'.format(api_id)

    aws_access_key_id = os.environ['AWS_ACCESS_KEY_ID']
    aws_secret_access_key = os.environ['AWS_SECRET_ACCESS_KEY']
    aws_session_token = os.environ['AWS_SESSION_TOKEN']

    auth = AWSRequestsAuth(aws_access_key=aws_access_key_id,
                           aws_secret_access_key=aws_secret_access_key,
                           aws_token=aws_session_token,
                           aws_host='{}.execute-api.eu-west-1.amazonaws.com'.format(api_id),
                           aws_region='eu-west-1',
                           aws_service='execute-api')

    response = requests.get(api_url, auth=auth)
    return {
        'statusCode': response.status_code,
        'body': json.dumps(response.json())
    }

希望有帮助。

Answer 2

可以从环境变量（AWS_SESSION_TOKEN、AWS_ACCESS_KEY_ID AWS_SECRET_ACCESS_KEY）中检索 lambda 执行角色的凭证。

您可以使用上述凭据对请求进行签名。用于签名的文档在这里http://docs.aws.amazon.com/general/latest/gr/sigv4-signed-request-examples.html.您还可以查看执行此操作的第三方库。

请注意，由于您有会话令牌，因此您需要按照此处所述进行处理 http://docs.aws.amazon.com/IAM/latest/UserGuide/id_credentials_temp_use-resources.html#RequestWithSTS