将 AWS API-Gateway 调用的 IAM 身份传递给后端服务器

Question

我们希望使用 AWS 将现有 API 设置为 SAAS 我们的代码已通过 elastic-beanstalk 部署，并且我们通过网关创建了对方法的访问以管理权限。

我们现在正尝试记录用户的活动，以进行计费

目前，我们找到的最佳解决方案涉及完整的调用记录（启用 CloudWatch Logs + 记录完整的请求/响应数据），这看起来相当繁重，甚至可能最终变得昂贵。

我们对集成请求中的请求正文进行了重新设计，为正文添加了一个映射模板，但这似乎很繁琐，但希望我们错过了更好的解决方案。

基本上，我们用生成的基本“passthrough”代码替换了默认的“passthrough”，并在其中添加了一个值“MyUserArn”：“$context.identity.userArn”，这使得请求正文充满了混乱，但看起来像是“避免破坏某些东西的最可靠方法”。

我们只想在标头或查询字符串参数中添加 IAM 用户标识符，但未能找到这是否可行。有几篇文章提到了“使用调用者凭据调用”选项，但我们也没有找到这个选项。
是与 cognito 相关还是其他？

我们是不是做错了什么？

Answer 1

您有几种不同的选择来获取此信息，这两种选择各有取舍：

1. 您当前的解决方案从映射模板中的$context.identity 中提取值，并将其作为正文的一部分发送到您的 Lambda。鉴于您的“大混乱”评论，您似乎反对这一点，但最终您可以控制传递给您的 Lambda 的内容。
2. 在您的方法上启用“用户调用者凭据”，然后在您的 Lambda 中使用身份值。目前，这仅在您使用从 Cognito 身份验证流程提供的凭证并且确实要求 Lambda 调用也成为您的角色策略的一部分时才有效，但不需要对模板进行任何修改。

更新抱歉，我以某种方式错过了您使用的是 Beanstalk 而不是 Lambda。您绝对可以在集成请求中添加标头，然后从 $context.identity.userArn 中提取其值。

更新 2 双重道歉，在标题中使用上下文变量时，您省略了 $，因此您需要使用 context.identity.userArn。