DataForge stellt ein kleines internes Admin-Tool über eine Lambda-Funktions-URL bereit. Sie müssen den Zugriff so einschränken, dass nur Aufrufer aus ihrer AWS Organization es aufrufen können und SigV4-Authentifizierung erforderlich ist. Sie möchten kein API Gateway hinzufügen. Was sollten sie tun?

Die korrekte Option nutzt AWSIAM als Authentifizierungstyp, der SigV4-Authentifizierung erfordert. Die ressourcenbasierte Richtlinie mit der Bedingung aws:PrincipalOrgID stellt sicher, dass nur Prinzipale innerhalb der angegebenen AWS Organization die Funktion aufrufen können, was die Anforderung erfüllt, den Zugriff auf die eigene Organisation zu beschränken. Da kein API Gateway hinzugefügt werden soll, ist dies die direkte und effiziente Methode. Ein Cognito-Benutzerpool würde eine Benutzerverwaltung erfordern, was über die Anforderung der Organisationsbeschränkung hinausgeht. API-Schlüssel bieten keine SigV4-Authentifizierung und sind weniger sicher als IAM-Rollen. AuthType=NONE würde keine Authentifizierung erfordern und CORS ist ein Mechanismus zur Steuerung des Zugriffs von Webbrowsern, bietet aber keine Authentifizierung oder Autorisierung auf Prinzipalebene.