ByteWorks expone una API REST multi-tenant en Amazon API Gateway (REST API) que debe aceptar JWT emitidos por un IdP externo (Okta). La autorización debe evaluar las claims del tenant, devolver una política de IAM y pasar un contexto personalizado al backend. El equipo quiere reducir la latencia de autorización mediante el almacenamiento en caché. ¿Qué deberían implementar?

La opción correcta es el autorizador de Lambda porque permite una lógica de autorización personalizada para validar JWTs de un IdP externo como Okta, evaluar claims del tenant, devolver una política de IAM y un contexto personalizado. La habilitación del almacenamiento en caché de resultados del autorizador con una clave de caché de identidad reduce la latencia al reutilizar las decisiones de autorización. Los autorizadores de grupo de usuarios de Cognito no soportan directamente tokens de Okta sin federación. Las HTTP APIs no pueden devolver políticas de IAM ni contexto personalizado en una REST API. Confiar en API keys y validar el JWT solo en el backend no cumple con el requisito de autorización en API Gateway ni permite el almacenamiento en caché de la autorización.