ByteWorks stellt eine mandantenfähige REST-API auf Amazon API Gateway (REST API) bereit, die von einem externen IdP (Okta) ausgestellte JWTs akzeptieren muss. Die Autorisierung muss Mandanten-Claims auswerten, eine IAM-Richtlinie zurückgeben und benutzerdefinierten Kontext an das Backend übergeben. Das Team möchte die Autorisierungslatenz durch Caching reduzieren. Was sollten sie implementieren?

Ein Lambda-Authorizer (Token-basiert) ist die korrekte Wahl, da er die Flexibilität bietet, JWT-Signaturen zu validieren, Mandanten-Claims auszuwerten und eine IAM-Richtlinie mit benutzerdefiniertem Kontext zurückzugeben. Das Aktivieren des Authorizer-Ergebnis-Caching mit einem geeigneten Identity Cache Key reduziert die Latenz erheblich, indem wiederholte Autorisierungsaufrufe vermieden werden. Ein Cognito User Pool Authorizer ist ungeeignet, da Okta kein Cognito User Pool ist und eine direkte Vertrauensstellung ohne Föderation nicht möglich ist. Die Migration zu HTTP APIs ist zwar eine Option für JWT-Authorizer, aber die Frage spezifiziert eine REST API. API-Schlüssel dienen der Drosselung und Abrechnung, nicht der Autorisierung von JWTs, und das Validieren im Backend würde die Autorisierung nicht vor dem API Gateway durchführen.