Cognito用户池自定义OAuth2身份提供程序和Auth策略

Question

因此，我有一个OAuth2单一登录服务，希望我的API上的用户能够登录（并且只有此服务，没有额外的密码等）。他们登录后，我希望他们能够使用经过身份验证的令牌向我的API（将在Lambda / EC2上托管，并且是GraphQL API）发出请求。最佳的角色管理等，由用户池处理。我假设返回的Cognito ID令牌就足够了。现在，另一个用例是人们无需用户登录即可直接连接到API并向某些资源发出请求。由于前端是单页应用程序，因此我认为最好的选择是使其连接到代理服务器，该代理服务器与之保持会话，并且该服务器代表客户端发出请求。

现在我的问题如下：

1. 是否可以将自定义OAuth2服务器用作用户池的身份提供者？
2. 是否可以通过Cognito对服务器到服务器的API请求进行身份验证，而无需特定用户
3. 代理服务器是用于发出请求或直接通过AppSync并在那里管理身份验证的最佳方法吗？
4. 最好不要担心所有这些服务，而自己做并放弃EC2上的所有服务吗？

谢谢。