APIG + 联合身份 - 细粒度访问控制？

Question

我正在寻找控制对我的 API 不同部分的访问的最佳方式。该 api 是通过联合身份调用的，这些联合身份获取映射到特定 IAM 角色的临时凭证 (STS)。这确保了只有登录的用户才能调用很棒的 AP​​I。但是，我想以更细粒度的方式控制与用户管理相关的 API 端点的访问。目前我使用 lambda 函数和一个 dynamo db 表来实现这一点，但是在每个 lambda 函数中拖动授权部分甚至为此目的只创建 lambda 函数似乎很乏味。我查看了自定义授权方，但无法找到有关如何在其中验证 STS 令牌的文档，实际上我想避免处理它。

那么是否有一种优雅的方式来对每个资源/方法进行授权，同时仍然使用 AWS_IAM 作为授权方进行身份验证？

Answer 1

如果您在 API Gateway 上使用 AWS_IAM 授权方，则提供细粒度访问的唯一方法是使用附加到 STS Assumed Role 的 IAM 策略。

注意：无法通过使用 IAM 凭证的 API Gateway 调用将 IAM 策略传递给 Lambda 函数。

但是，您可以在 API Gateway 集成请求中使用 Invoke with Caller credentials 属性来验证 STS 代入的 IAM 角色中定义的任何 API Gateway 访问策略。通过这种方式，您可以定义授权的一部分，您可以在其中定义哪些 API 网关端点和 HTTP 方法允许被假定角色。

如果您需要为通过 API Gateway 端点公开的各个对象定义对象级别权限并向用户授予访问权限，则需要在 Lambda 中进行处理。