Un développeur débogue une application qui utilise plusieurs fonctions Lambda appelant une API exposée par API Gateway. La méthode API Gateway utilise un autorisateur Amazon Cognito. Les fonctions Lambda incluent l'ID utilisateur dans l'en-tête Authorization lors de l'appel de l'API. Toutes les requêtes GET vers l'API renvoient HTTP 403. Comment le développeur peut-il résoudre ce problème ?

L'erreur HTTP 403 (Forbidden) indique un problème d'autorisation. Puisque l'API Gateway utilise un autorisateur Amazon Cognito, l'application cliente doit fournir un jeton d'authentification Cognito valide dans l'en-tête Authorization pour accéder aux ressources protégées. Les fonctions Lambda incluent actuellement l'ID utilisateur, qui est insuffisant pour l'autorisation Cognito. Modifier la requête GET du client pour inclure une clé API valide ne fonctionnerait pas, car l'API Gateway utilise un autorisateur Cognito, pas une clé API pour l'authentification dans ce scénario. Mettre à jour la politique de ressource API Gateway n'est pas la solution, car le problème est lié à l'authentification du client, non à la politique d'accès à l'API elle-même. Demander au client d'envoyer une requête de pré-vérification OPTIONS est pertinent pour les problèmes CORS, pas pour l'autorisation.