Использование AWS Cognito для аутентификации пользователей в моем собственном API

Question

У меня есть приложение для iOS. Пользователи проходят аутентификацию для доступа к ресурсам AWS, таким как DynamoDB или S3. Теперь я создал сервер js узла, чтобы добавить дополнительную логику в бэкэнд приложения. Мой вопрос заключается в том, могу ли я использовать уже удостоверенный пул удостоверений пользователей, чтобы позволить этим пользователям получать доступ к моему API (который, кстати, размещен в EC2), или мне нужно создать совершенно новую систему аутентификации с использованием passport.js или чего-то подобного. Если я могу использовать Cognito, это стоит денег?

Спасибо!

Answer 1

Если вы разместите свой API за API-шлюзом, вы можете использовать AWS IAM-аутентификацию для API-шлюза, и я считаю этот подход убедительным, поскольку это означает, что запросы без аутентификации к API-шлюзу не вызывают бэкэнд-запрос, а также потому, что я хочу разрешитьAWS выполняет аутентификацию для меня (аутентификация AWS является «бесплатной», а пулы идентификации Cognito - нет).Мне также нравится, что шлюз API может ограничивать количество запросов, чтобы злоумышленники, прошедшие проверку подлинности, не могли взять свои токены Cognito и выполнить DoS-атаку, скажем, на динамо-таблицу.

В противном случае я не знаю, как связать аутентификацию вашего приложения с аутентификацией AWS, так что вы остаетесь за мостом, преодолевая этот пробел своими собственными инженерными усилиями.