Ein Unternehmen betreibt eine benutzerdefinierte Online-Gaming-Anwendung und verwendet Amazon Cognito für Authentifizierung und Autorisierung. Der Sicherheitsingenieur muss eine detaillierte Autorisierung in der Anwendung basierend auf vorhandenen Cognito-Benutzerattributen implementieren. Das Unternehmen verfügt bereits über einen Cognito-Benutzerpool und einen Identitätspool. Welcher Ansatz erfüllt diese Anforderungen?

Amazon Verified Permissions (AVP) ist die beste Lösung für eine detaillierte Autorisierung basierend auf Benutzerattributen. AVP ermöglicht die Definition von Richtlinien in Cedar, einer deklarativen Sprache, die eine präzise Kontrolle über den Zugriff basierend auf Attributen aus Cognito-Zugriffstoken oder anderen Quellen bietet. Durch die Konfiguration von Cognito als Identitätsquelle und die Zuordnung von Attributen können Sie komplexe Autorisierungslogiken zentral verwalten. Die Erstellung von IAM-Rollen und -Richtlinien ist für die detaillierte Autorisierung auf Anwendungsebene weniger geeignet, da IAM hauptsächlich für den Zugriff auf AWS-Ressourcen konzipiert ist und die Verwaltung vieler feingranularer Rollen schnell unübersichtlich wird. AWS Resource Access Manager (AWS RAM) dient dem Teilen von AWS-Ressourcen zwischen Konten oder innerhalb einer Organisation, nicht der detaillierten Autorisierung innerhalb einer Anwendung. Die Erstellung von IAM-Benutzern und -Richtlinien ist ebenfalls nicht ideal, da Cognito bereits die Benutzerverwaltung übernimmt und IAM-Benutzer für den Zugriff auf AWS-Dienste und nicht für die Anwendung autorisierung gedacht sind.