Un'azienda esegue un'applicazione web di produzione che include un'API HTTP di Amazon API Gateway che richiama una funzione AWS Lambda. La funzione Lambda elabora le richieste e memorizza i dati in un database. L'azienda desidera un'autorizzazione utente integrata e utilizza già un provider di identità di terze parti che rilascia token OAuth per altre applicazioni. Quale soluzione soddisfa questi requisiti di autorizzazione?

La soluzione corretta sfrutta un autorizzatore Lambda di API Gateway. Questo permette di integrare direttamente il provider di identità di terze parti con API Gateway. La funzione Lambda dell'autorizzatore può essere personalizzata per convalidare i token OAuth emessi dal provider di identità, fornendo un controllo granulare sull'autorizzazione. L'applicazione web deve solo ottenere il token OAuth dal provider e passarlo nell'intestazione Authorization all'API Gateway. Le opzioni che coinvolgono AWS Directory Service o AWS IAM Identity Center non sono ideali in questo scenario. Directory Service non è un meccanismo diretto per la convalida di token OAuth di terze parti per API Gateway. IAM Identity Center è più orientato alla gestione dell'accesso utente alle risorse AWS e alle applicazioni aziendali, non alla convalida diretta di token OAuth per un'API HTTP esterna. Creare utenti IAM per ogni utente finale non è scalabile né una pratica di sicurezza consigliata per l'autorizzazione di un'API pubblica.