DataForge expone una pequeña herramienta de administración interna a través de una URL de función Lambda. Deben restringir el acceso para que solo los llamadores de su AWS Organization puedan invocarla y requieren autenticación SigV4. No quieren añadir API Gateway. ¿Qué deberían hacer?

La opción correcta es establecer el AuthType de la URL de la función en AWSIAM y adjuntar una política basada en recursos que permita lambda:InvokeFunctionUrl solo cuando aws:PrincipalOrgID sea igual a su ID de organización. Esto cumple con los requisitos de autenticación SigV4 (implícita con AWSIAM) y restringe el acceso a la AWS Organization utilizando una condición de política. Las opciones incorrectas son: Un autorizador de grupo de usuarios de Cognito no cumple con el requisito de SigV4 y añade una capa de autenticación de usuario que no se especifica. Las claves de API no proporcionan autenticación SigV4 y son menos seguras para este caso de uso. Configurar AuthType=NONE y usar CORS no proporciona ninguna autenticación y solo restringe el origen del navegador, no el acceso a la función Lambda.