使用具有 Web 身份的假定角色执行 AWS Lambda

Question

是否可以通过 API 网关执行 Lambda，并代表 Cognito 身份验证用户扮演角色？

现在我在 Lambda 代码中手动进行角色假设：

  const assumedRole = await sts.send(new AssumeRoleWithWebIdentityCommand({
    RoleArn: 'some role ARN',
    RoleSessionName: event.requestContext.authorizer.jwt.claims['cognito:username'],
    WebIdentityToken: event.headers.authorization
  }));

但我想避免这种情况，并且已经使用这个假定的角色执行 Lambda。

我遇到的困难是弄清楚实现这一目标需要什么 IAM 角色和策略。

谢谢！

Answer 1

您可以将 cognito 令牌从请求的标头传递给 lambda，然后为身份调用获取 get 凭据。这将是动态承担认知用户角色的最佳方法。如果您已将 cognito 配置为根据令牌授予角色，您甚至不需要在调用中明确提供角色 arn。