AWS_IAM認可をMethod Requestで使用する場合、AWS Gatewayカスタム認可者が必要ですか？

Question

AWS Lambdaを使用したWeb APIとしてAWS Gatewayをサーバーレスバックエンドとして使用しています。ラムダ関数は、私のゲートウェイAPIによってのみ呼び出されます。ラムダを通して、私は他のAWSサービス（RDS、SNSなど）の操作を呼び出して実行します。 私のクライアントだけが自分のWeb APIにアクセスしたいと思っています。これを行うには、AWS_IAM認証を使用してすべてのゲートウェイAPIをセットアップします。認証されていないクライアントには、例えば、ログイン/ユーザ登録機能。これと比較して、認証されたクライアントは、より多くのリコースにアクセスできるポリシーを持っています。

私のクライアントが自分のゲートウェイAPIにアクセスし、できるだけ安全なものにしたいのであれば、トークンの有効性をチェックするカスタム認証者を作成する必要がありますか？

私はコグニートのユーザープールを設定していませんし、外部のパブリックプロバイダ（google、Facebook、openId、amazonなど）もセットアップしませんでした。私はカスタム開発者認証アイデンティティを扱っています。すべてのユーザーはAWS RDSに保存されます。ユーザーがログインしようとすると、電子メールとパスワードで正しく認証されると、オープンIDとjwtトークンがクライアントに返されます。これは、 'getOpenIdTokenForDeveloperIdentity'を呼び出すことによって行われます。

私はカスタム認可者を作成したWebでいくつかの情報源を見つけましたが、外部プロバイダ（google、facebook、auth0など）がトークンの有効性を常に検証しました。このメンバーは、あなたが[...]いくつかの全く異なる認証ロジック[...]を持っている場合にのみ、外部プロバイダを用意する必要があると書いています。https://stackoverflow.com/a/39407156/5181862そして、私はこれがここに当てはまるとは思わない。

この情報が必要な場合は、アプリケーションを実行するクライアントはiOS以降のAndroidデバイスです。

Answer 1

すべてのAPIにAWS_IAM権限がある場合、それはすでにかなり安全です。 AWS_IAMでは、クライアントがAPI（アカウント）と同じアカウントから有効なAWS認証情報を取得する必要があります。

Cognito（認証されていないクライアントポリシーについて話しています）のように聞こえることがあります。この場合、正しく実装されていると認証モデルは安全です。