Авторизатор шлюза API AWS: белый список Cognito + IP

Question

Допустим, у меня есть Admin API, где я хочу использовать Cognito для аутентификации пользователя в определенной группе + с белого IP-адреса, как мне это сделать?

Прав ли я сказать:

• Я не могу использовать авторизатор Cognito, поскольку он только проверяет, находится ли пользователь в пуле и ничего более
• Если мне нужно написать собственный авторизатор, мне нужно будет https://aws.amazon.com/blogs/compute/using-enhanced-request-authorizers-in-amazon-api-gateway/ правильно? Я не могу использовать способ IAM для создания белого списка IP-адресов https://lobster1234.github.io/2018/04/14/amazon-api-gateway-ip-whitelisting/

Answer 1

Да. В вашем случае вы должны использовать Custom Authorizer, который выполняет следующие действия:

• Проверка Cognito Token
• Проверьте, принадлежит ли пользователь Cognito к определенной группе ( Или используйте группы Cognito UserPool )
• Динамически генерировать Политика шлюза API предоставление авторизованных конечных точек.
• Проверьте IP-адреса из белого списка ( Необходимо разрешить заголовки расширенного запроса для пользовательского авторизатора для считывания IP-адреса запрашивающей стороны). Если есть только несколько пользователей, которые добавляли вручную и нечасто вместе со своими IP-адресами, вы можете рассмотреть белый список IP-адресов шлюза Amazon API с Resource Policy .