A ByteWorks expõe uma API REST multi-tenant no Amazon API Gateway (REST API) que deve aceitar JWTs emitidos por um IdP externo (Okta). A autorização deve avaliar as declarações de tenant, retornar uma política do IAM e passar um contexto personalizado para o backend. A equipe deseja reduzir a latência de autorização por meio de cache. O que eles devem implementar?

A opção correta é configurar um autorizador Lambda (baseado em token) porque ele permite a validação personalizada do JWT (assinatura e declarações de tenant), a geração de uma política IAM dinâmica com contexto personalizado para o backend e, crucialmente, o cache dos resultados do autorizador para reduzir a latência. O cache pode ser configurado com uma chave de cache de identidade apropriada, como o próprio JWT, para garantir que as políticas sejam reutilizadas para o mesmo token. As outras opções estão incorretas porque: Autorizador de pool de usuários do Cognito não suporta diretamente JWTs de IdPs externos como Okta sem federação explícita e não oferece a flexibilidade para políticas IAM personalizadas baseadas em declarações de tenant ou contexto personalizado. Migrar para HTTP APIs do API Gateway e usar um autorizador JWT não permite retornar políticas IAM, apenas escopos ou declarações, e não oferece a mesma granularidade de controle de autorização que um autorizador Lambda. Contar com chaves de API e validar o JWT apenas no backend não oferece autorização no nível do API Gateway, expondo o backend a requisições não autorizadas e perdendo os benefícios de segurança e desempenho da autorização no gateway.