AWS API网关忽略自定义授权程序Lambda函数返回的身份验证策略

Question

我试图在API网关上实现自定义授权，通过从Dynamodb读取用户对其背后每个特定endpoint的权限，来检查用户的权限。

授权程序似乎工作正常，并且它返回的策略在我看来很好（看看下面的内容）

{
    "policyDocument" : {
        "Version" : "2012-10-17",
        "Statement" : [
            {
                "Action" : "execute-api:Invoke",
                "Effect" : "Deny",
                "Resource" : "arn:aws:execute-api:us-east-2:111111111111:mkvhd2q179/*/GET/api/Test"
            }
        ]
    },
    "principalId"    : "*"
}

然而，不管授权者在策略文档内部返回的效果如何，API网关仍然让我们所有的请求都通过。我从下面的APIendpoint获得状态200和结果集。

附注。我尝试使用显式的principalID（来自令牌的用户名/主题），然后在那里加上星号。它的行为是一样的。

这里是我的Lambda函数的完全虚化版本，当前设置为总是返回Deny作为策略效果...

public class Function
{
    public AuthPolicy FunctionHandler(TokenAuthorizerContext request, ILambdaContext context)
    {
        var token = request.AuthorizationToken;

        var stream = token;
        var handler = new JwtSecurityTokenHandler();
        var jsonToken = handler.ReadToken(stream);
        var tokenS = handler.ReadToken(token) as JwtSecurityToken;

        return generatePolicy(tokenS.Subject, "Deny", "arn:aws:execute-api:us-east-2:111111111111:mkvhd2q179/*");
    }

    private AuthPolicy generatePolicy(string principalId, string effect, string resource)
    {

        AuthPolicy authResponse = new AuthPolicy();
        authResponse.policyDocument = new PolicyDocument();
        authResponse.policyDocument.Version = "2012-10-17";// default version
        authResponse.policyDocument.Statement = new Statement[1];
        authResponse.principalId = "*";

        Statement statementOne = new Statement();
        statementOne.Action = "execute-api:Invoke"; // default action
        statementOne.Effect = effect;
        statementOne.Resource = resource;

        authResponse.policyDocument.Statement[0] = statementOne;

        return authResponse;
    }
}

public class TokenAuthorizerContext
{
    public string Type { get; set; }
    public string AuthorizationToken { get; set; }
    public string MethodArn { get; set; }
}

public class AuthPolicy
{
    public PolicyDocument policyDocument { get; set; }
    public string principalId { get; set; }
}

public class PolicyDocument
{
    public string Version { get; set; }
    public Statement[] Statement { get; set; }
}

public class Statement
{
    public string Action { get; set; }
    public string Effect { get; set; }
    public string Resource { get; set; }
}

Answer 1

TL；DR；删除/更改/检查网关中设置的“资源策略”。

我也有类似的问题。不知何故，我在网关的资源策略中设置了一个“允许*主体访问*资源”策略，该策略与授权者返回的任何内容组合在一起。我最终删除了所有的资源策略，让授权者来决定。