AWS API Gateway - 将访问令牌与 Cognito 用户池授权方一起使用？

Question

我正在配置一个具有各种前端（移动和 Web 应用程序）和一个 API 后端的应用程序，由 Lambda 提供支持并通过 AWS API Gateway 访问。

由于我计划使用 Cognito 对用户进行身份验证和授权，因此我在我的 API 网关和几个 API 方法上设置了 Cognito 用户池授权方。

对于这样的架构，从 OAuth 的角度来看，我的应用程序（例如 iOS 或 Vue.js 应用程序）是客户端应用程序，而我的 API 网关后端是资源服务器，这似乎是合乎逻辑的。基于this Auth0 forum post，我似乎很清楚应该在我的客户端应用程序中使用一个 ID 令牌，并传递一个访问令牌来授权我的 API 网关资源。

当我点击 Cognito /oauth2/authorize 端点以获取访问代码并使用该代码点击 /oauth2/token 端点时，我得到 3 个令牌 - 一个访问令牌、一个 ID 令牌和一个刷新令牌。到目前为止一切顺利，我应该有我需要的。

这是我遇到困难的地方 - 使用 API Gateway Cognito 用户池授权器控制台上的测试功能，我可以粘贴 ID 令牌并通过（在屏幕上解码令牌）。但是当我粘贴访问令牌时，我得到401 - unauthorized。

在我的 Cognito 设置中，我仅启用了 Authorization Code Grant 流，具有 email 和 openid 范围（这似乎是 Cognito 允许的最小值，因为我在尝试保存时出现错误，至少没有勾选这些） .

我是否需要添加一些特定范围才能让 API Gateway 使用访问代码授权请求？如果是这样，这些配置在哪里？

或者我错过了什么？ API 网关是否只允许 ID 令牌与 Cognito 用户池授权器一起使用？

Answer 1

您可以使用具有与 id 令牌相同的授权方的访问令牌，但需要在用户池和 APIG 中完成一些额外的设置。

即使完成此额外设置，您也无法将内置授权测试功能与访问令牌一起使用，而只能使用 id 令牌。 AWS 提供的典型 80% 解决方案！

要使用访问令牌，您需要在 App Integration -> Resource Servers 下的用户池中设置资源服务器，使用什么都没有关系，但我假设您使用 <site>.com 作为标识符，并且您有一个名为 @ 的范围987654325@.

没有转到 APIG 中的方法并为该方法输入 Method Request。假设这已经设置了一个使用 id 令牌测试的授权者，然后将 <site>.com/api 添加到 Settings -> OAuth Scopes 部分。

只需添加 OAuth Scope 即可确保令牌现在必须是访问令牌，并且不再接受 id 令牌。

这里有详细说明：https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-enable-cognito-user-pool.html

Answer 2

对于那些正在寻找答案但不使用 OAuth 并且正在使用无服务器框架进行部署的人：

让 APGW 接受 accessToken 的方法是修改我的 serverless.yml 文件，如下所示：

functions:
  my-function:
    handler: path to source file
    events:
      - http:
          path: my-function
          method: post
          cors: true
          authorizer:
            type: COGNITO_USER_POOLS
            scopes:
              - YOUR SCOPE HERE <- THIS IS THE TRICK
            authorizerId:
              Ref: ApiGatewayAuthorizer

范围的值可以通过读取您的 accessToken 的内容来找到（通过将令牌粘贴到 https://jwt.io/ 调试器中）。

Answer 3

是的，API Gateway 只会使用 idToken 进行授权。

在用户输入正确的凭据后，访问代码由身份提供者提供，授权用户输入正确的凭据，并且此访问代码由 客户端只是为了从/oauth2/token端点为给定用户获取idToken和refreshToken。您所有进一步的调用只会在 Authorization 标头中使用 idToken。

即使在您检索到用户令牌后访问代码也会过期。