CognitoオーソライザをJWTトランスレータと同じように使用する

Question

トークンが無効な場合は、「Unauthorized」で失敗することは望ましくありません。代わりに、私はまだクレームデータがなくても私のラムダ内でリクエストを得たいと思っています。そこから、何を先にするかを決めます。

これは、有効で有効なときに、Cognito AuthorizerがJWTトークンのトランスレータとして機能するようにすることを意味します。

Answer 1

この方法でAPIゲートウェイのビルトインのCognito Userpool認可者を使用することはできません。無効な資格情報では常にUnauthorizedが返されます。あなたの使用のために、カスタムオーサライザを使用する必要がある場合。 Allowポリシーを返し、有効なトークンでのみ（拡張コンテキストを使用して）一部のクレームデータを返すことができます。

私は、承認者がこれ用に設計されていないと言わなければなりません。あなたのバックエンドのクレームデータがほしいと思うようで、トークンが無効であれば、有効であればそれを使用してください。&トークンを無視してください。もしそうなら、これのためにAuthorizersを使う必要はありません。トークンをバックエンドに直接渡すことができます。& JWT &の有効なクレームを有効にするために、カスタムオーソライザのコードスニペットと同じコードを書き込みます。このプロセスを簡単にできる複数のサードパーティのライブラリがあります。&このトークンの確認（&クレーム抽出）はわずか数行のコードを使用して行うことができます。

EDITがトークンを検証するには、以下を行う必要があります。

• がトークンに署名するために使用される公開鍵を取得します。 Cognito Userpoolトークンの場合、（ユーザープールIDがus-east-1_xxxxxxxxxで、regionがus-east-1であると仮定して）OIDCディスカバリ文書のJWK URL（jwks_uriパラメータ）から取得できます。
  • https://cognito-idp.us-east-1.amazonaws.com/us-east-1_xxxxxxxxx/.well-known/openid-configuration
  • トークンの公開鍵URL（JWK URI）は、https://cognito-idp.us-east-1.amazonaws.com/us-east-1_xxxxxx/.well-known/jwks.jsonになります。ペイロード全体、JSONオブジェクトはJWKです。
• JWKをPEM形式&に変換してトークンを確認します。ここで

したいコードでAWSのブログです： https://aws.amazon.com/blogs/mobile/integrating-amazon-cognito-user-pools-with-api-gateway/