AWS - API Gateway Lambda Authorizer

API Gateway Lambda Authorizer

這是一種組合，由 lambda function 負責驗證 API 請求身份，驗證成功回傳 IAM Policy 或 Allow/Deny decision 控制 API Gateway 是否允許進入後端 Lambda/Service

間單說: API Gateway 問 Lambda 此 request 是否可以進入，Lambda 不處理資料業務，只負責身份與授權

Authorizer 兩種類型

• TOKEN Authorizer Pattern 常用於
  • Cognito JWT Tokens
  • OAuth2 access token
  • Internal Signed token
• REQUEST Authorizer Patter 適合
  • Multi-tenant 驗證
  • 根據客制 metadata 判斷授權
  • 多欄位驗證(header + query)

範例

• x-tenant-id
• device-id

回傳格式(IAM Policy Example)

Lambda Authorizer 回傳 IAM Policy

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17

{
    "principalId":"user123",
    "policyDocument":{
        "Version":"2012-10-17",
        "Statement":[
            {
                "Action":"execute-api:Invoke",
                "Effect":"Allow",
                "Resource":"arn:aws:execute-api:us-east-1:123456789012:api-id/*/GET/example"
            }
        ]
    },
    "context":{
        "role":"admin",
        "plan":"premium"
    }
}

context 可以傳入後端 Lambda 作細粒度的存取控制

Cache 效能提升

• Authorizer TTL: 可 Caching 授權結果(預設 300s)
• 決策重複利用: 大幅降低 Lambda Authorizer 成本與延遲

Lambda Authorizer VS Cognito

• 客制 RBAC/External IdP/ Legacy Token -> Lambda Authorizer
• Cognito User pool -> Cognito Authorizer

Reference

• AWS - Use API Gateway Lambda authorizers