ByteWorks expose une API REST multi-tenant sur Amazon API Gateway (API REST) qui doit accepter les JWT émis par un IdP externe (Okta). L'autorisation doit évaluer les revendications du tenant, renvoyer une politique IAM et transmettre un contexte personnalisé au backend. L'équipe souhaite réduire la latence d'autorisation via la mise en cache. Que devraient-ils implémenter ?

La configuration d'un autorisateur Lambda (basé sur un jeton) est la solution la plus appropriée. Il peut valider les JWT d'Okta, extraire les revendications du locataire, générer une politique IAM et transmettre un contexte personnalisé. L'activation de la mise en cache des résultats de l'autorisateur avec une clé de cache d'identité réduit la latence en évitant des validations répétées pour les mêmes jetons. L'utilisation d'un autorisateur de pool d'utilisateurs Cognito ne permet pas de faire confiance directement aux jetons Okta sans fédération et ne fournit pas la flexibilité nécessaire pour les revendications de locataire personnalisées ou les politiques IAM. Migrer vers les API HTTP d'API Gateway n'est pas nécessaire car les API REST peuvent utiliser des autorisateurs Lambda et les autorisateurs JWT des API HTTP ne renvoient pas de politiques IAM. S'appuyer sur des clés API et valider le JWT uniquement dans le backend ne fournit pas d'autorisation au niveau de l'API Gateway et n'offre pas de mise en cache pour réduire la latence.