Api 网关 Cognito 用户组

Question

我需要帮助！我正在尝试通过 cognito 对 api 网关的管理器访问。

• 我创建了一个 api 网关，通过 cognito 进行身份验证
• 在 cognito 中，我创建了一个拒绝访问 api 方法的组
• 我通过 cognito 认证，并在 idToken 中返回组

问题：我仍然可以访问这个 api，为什么？ Cognito auth 在 api 网关中是如何工作的？

Answer 1

直到 2017 年 12 月，认知用户池授权方法实际上是在执行身份验证而不是授权。没有可用的细粒度权利，任何经过身份验证的用户（呈现identity token）都可以调用受认知用户池保护的端点资源。对于实际授权（粒度权利），您必须使用 IAM 或自定义授权方。

根据this announcement，Cognito 现在也可以使用 oauth 2 范围传递 access tokens。我个人还没有尝试过这个，但我相信这应该可以解决你的问题。