AWS API网关授权者：Cognito + IP白名单

Question

让我们说我有一个Admin API，我想使用Cognito来验证特定用户组中的用户+白名单中的IP，我该怎么做？

我有权说：

• 我无法使用Cognito授权器，因为它仅检查用户是否在用户池中，仅此而已
• 如果我需要编写自定义授权者，则需要遵循https://aws.amazon.com/blogs/compute/using-enhanced-request-authorizers-in-amazon-api-gateway/正确吗？我无法使用IAM方法进行IP白名单https://lobster1234.github.io/2018/04/14/amazon-api-gateway-ip-whitelisting/

Answer 1

是的。对于您的用例，您需要使用执行以下操作的自定义授权器

• Validation of Cognito Token
• 验证Cognito用户是否属于特定组（Or use Cognito UserPool Groups）
• 动态生成API Gateway Policy，以授予授权的端点。
• 检查列入白名单的IP（Need to allow Enhanced Request Headers to the Custom Authorizer以读取请求者的IP）。如果只有很少的用户以及他们的IP地址不经常手动添加，则可以考虑使用Resource Policy的Amazon API Gateway IP白名单。