Ein Unternehmen betreibt eine Produktions-Webanwendung, die eine Amazon API Gateway HTTP API umfasst, die eine AWS Lambda-Funktion aufruft. Die Lambda-Funktion verarbeitet Anfragen und speichert Daten in einer Datenbank. Das Unternehmen wünscht eine integrierte Benutzerautorisierung und verwendet bereits einen Drittanbieter-Identitätsprovider, der OAuth-Tokens für andere Anwendungen ausstellt. Welche Lösung erfüllt diese Autorisierungsanforderungen?

Die korrekte Lösung nutzt einen Lambda-Authorizer, der OAuth-Tokens von einem Drittanbieter-Identitätsprovider validieren kann. Dies ist eine flexible und gängige Methode, um benutzerdefinierte Autorisierungslogik in API Gateway zu integrieren, insbesondere wenn bereits ein externer IdP OAuth-Tokens ausstellt. Die Webanwendung muss lediglich die Tokens abrufen und im Authorization-Header senden. Die Option mit AWS Directory Service ist ungeeignet, da Directory Service primär für Verzeichnisdienste wie Active Directory gedacht ist und nicht direkt als OAuth-Token-Validator für API Gateway fungiert. Die Optionen, die IAM Identity Center direkt für die API Gateway-Autorisierung vorschlagen, sind ebenfalls nicht optimal. IAM Identity Center ist primär für die zentrale Verwaltung des Zugriffs auf AWS-Konten und Anwendungen konzipiert, nicht als direkter Autorisierungsmechanismus für HTTP APIs basierend auf externen OAuth-Tokens. IAM-Benutzer und STS-Tokens sind für die Autorisierung von AWS-API-Aufrufen gedacht, nicht für die direkte Autorisierung von Endbenutzern einer HTTP API, die OAuth verwendet.