AWS AppSyn c OIDC

Question

Я использую AWS AppSyn c с keycloak в качестве поставщика OID C и оставил clientID пустым. Это означает, что я могу сгенерировать токен доступа, используя любой clientId и клиентский секрет, и начать делать запросы (запросы или мутации) к моей конечной точке AppSyn c GraphQL.

Однако я должен спросить ... как сделать Я определяю мелкозернистое управление доступом с помощью областей в токене jwt. Я не совсем понимаю, какую выгоду дает этот процесс авторизации, кроме простого использования существующих клиентов, ранее настроенных в keycloak или любых других провайдерах oid c.

Итак ... в чем реальное преимущество использования oid c авторизация для AppSyn c? Я что-то упустил здесь? Любые отзывы приветствуются!

Спасибо!

Answer 1

Вы получаете доступ к заявкам OID C в карте $ ctx.identity.claims в шаблонах сопоставления преобразователя, которые вы можете в основном использовать для создания логических элементов управления доступом c. Представьте, что если у вас есть групповое утверждение, означающее, что ваш пользователь принадлежит такой группе, как «Администратор», тогда вы можете написать собственный лог c в своем шаблоне сопоставления на основе этого.

Вот пример того, как это сделать (он использует Cognito, но OID C должен быть очень похож).

https://adrianhall.github.io/cloud/2018/06/01/how-developers-can-auth-with-aws-appsync/