Benutzer authentifizieren sich über einen Drittanbieter-IdP bei einer API über Amazon Cognito. Der Entwickler hat das IdP-Attribut Department einem benutzerdefinierten Lambda-Autorisierer zugeordnet, mit der Absicht, nur Benutzern der Vertriebsabteilung den Zugriff zu erlauben. Der Entwickler ändert seine Abteilung im IdP auf Sales, wird aber weiterhin abgewiesen; die Protokolle zeigen, dass das Zugriffstoken immer noch Department=Engineering enthält. Was könnte erklären, warum das Token immer noch Engineering anstelle von Sales meldet?

Wenn das Autorisierungs-Caching im benutzerdefinierten Lambda-Autorisierer aktiviert ist, speichert der Autorisierer die Ergebnisse früherer Autorisierungsanfragen. Obwohl der Benutzer seine Abteilung im IdP auf "Sales" geändert hat, verwendet der Lambda-Autorisierer weiterhin die zwischengespeicherten Informationen aus der vorherigen Autorisierung, die "Engineering" enthielt. Das Token wird erst aktualisiert, wenn der Cache abläuft oder manuell invalidiert wird. Die Aktivierung des Autorisierungs-Cachings im Amazon Cognito-Benutzerpool ist irrelevant, da der Benutzerpool die Identität verwaltet, aber nicht direkt die Autorisierung durch den Lambda-Autorisierer beeinflusst. Das Fehlen eines Department-Tags in der IAM-Rolle für den Lambda-Autorisierer oder den Cognito-Benutzerpool ist ebenfalls nicht die Ursache. Tags auf IAM-Rollen werden hauptsächlich für die Zugriffsverwaltung innerhalb von AWS verwendet und beeinflussen nicht die Attribute, die in einem Zugriffstoken von einem IdP über Cognito übermittelt werden.