AWS ALB Cognito JWT/OIDC 身份验证

Question

我们正在尝试将 AWS ALB 与 Cognito 用户池集成。我们在 ALB 中设置了规则来使用 Cognito 客户端对用户进行身份验证。在 webapp 身份验证之后，会设置会话 cookie。这一切都很好。

现在，我们有一个桌面应用程序，它在内部与 Cognito 连接，获取访问令牌 JWT 并对其进行管理（刷新等）。现在，我们尝试使用此访问令牌作为授权标头向 ALB 发起 http 请求。 ALB 将这些请求再次重定向到 Cognito 登录页面，而不是验证（并允许）Auth 标头中存在的 JWT。

我们期望的是，如果请求包含有效的 Auth 标头 (JWT)，ALB 应该首先验证它，然后在成功验证后允许它。似乎 ALB 不检查 Auth 标头。我们如何使用 ALB 实现这一目标？
此外，桌面应用程序是否可以直接使用 ALB（而不是 Cognito）并使用 Session ID 而不是 JWT/Access Token？

Answer 1

我假设您已按照说明 here 并设置了单个侦听器规则，其中包含操作 authenticate-cognito 和 forward。

如果是，那么我认为最好的解决方案是添加具有host header condition 的更高优先级 规则。

如果您这样做，您后端的授权代码将必须同时查找 Authorization 和 x-amzn-oidc-accesstoken。