ByteWorks espone una REST API multi-tenant su Amazon API Gateway (REST API) che deve accettare JWT emessi da un IdP esterno (Okta). L'autorizzazione deve valutare i claim del tenant, restituire una policy IAM e passare un contesto personalizzato al backend. Il team vuole ridurre la latenza dell'autorizzazione tramite la memorizzazione nella cache. Cosa dovrebbe implementare?

L'authorizer Lambda (basato su token) è la soluzione più flessibile e potente per questo scenario. Permette di convalidare la firma JWT, estrarre e valutare i claim del tenant (come l'ID del tenant), generare una policy IAM dinamica basata su questi claim per il controllo degli accessi e passare un contesto personalizzato al backend. L'abilitazione della memorizzazione nella cache dei risultati dell'authorizer con una chiave di cache di identità appropriata riduce significativamente la latenza, poiché le chiamate successive con lo stesso token non richiederanno una nuova esecuzione della Lambda. Le altre opzioni sono meno adatte: Un authorizer del pool di utenti Cognito non può convalidare direttamente i token Okta senza federazione e non offre la flessibilità per restituire policy IAM personalizzate basate su claim arbitrari o passare un contesto personalizzato. Le API HTTP di API Gateway supportano authorizer JWT, ma la domanda specifica una REST API e gli authorizer JWT nativi non supportano la restituzione di policy IAM o un contesto personalizzato arbitrario come richiesto. Affidarsi solo alle chiavi API e convalidare il JWT nel backend sposta la logica di autorizzazione dal perimetro di API Gateway, aumentando la latenza complessiva e la complessità di gestione della sicurezza.