具有 Cognito + API 网关 + Lambda 自定义角色的 AWS 多租户

Question

我正在使用 Cognito 和 API Gateway 构建多租户 SaaS 服务。我正在观看视频和阅读博客，但找不到明确的解决方案。

1. 我正在考虑创建多个 Cognito，每个租户一个，但是在创建 API 网关时，您必须将授权者链接到 Cognito 用户池 ID，并且可以链接的数量有限制。我为什么要问这个？因为我想为所有 Cognito 用户池使用相同的 API 网关端点。所以我的猜测是我必须创建一个 Lambda Authorizer 并使用该 API Gateway ID 创建一个策略，对吗？

1.1 是否可以使用 JWT 令牌通过 Lambda Authorizer 调用 API Gateway REST API？

1. 在 re:Invent 2019 无服务器 SaaS 深入探讨中，他们提供了一种解决方案来创建动态策略并即时关联到 Lambda，以便您可以提高安全性，例如在查询 DynamoDB 表时（他们会发出警报关于这种方法的安全性，但我很好奇）。他们是怎么做到的？因为我已经看到无法将 Lambda Authorizer 创建的策略转发给 Lambda Function。

谢谢

Answer 1

您可以使用自定义授权方 (lambda) [API 网关]。你可以在资源上进行关联。