ByteWorksは、外部IdP (Okta) によって発行されたJWTを受け入れる必要があるマルチテナントREST APIをAmazon API Gateway (REST API) 上で公開しています。認証はテナントクレームを評価し、IAMポリシーを返し、カスタムコンテキストをバックエンドに渡す必要があります。チームはキャッシュによって認証レイテンシーを削減したいと考えています。彼らは何を実装すべきですか？

このシナリオでは、外部IdP (Okta) からのJWTを受け入れ、テナントクレームを評価し、IAMポリシーとカスタムコンテキストを返し、認証レイテンシーを削減するためにキャッシュを使用する必要があります。Lambdaオーソライザー (トークンベース) は、これらの要件をすべて満たします。JWTの署名とクレームを検証し、IAMポリシーを生成し、カスタムコンテキストをバックエンドに渡すことができます。さらに、オーソライザー結果のキャッシングを有効にすることで、認証レイテンシーを大幅に削減できます。 API Gateway Cognitoユーザープールオーソライザーは、Oktaトークンを直接信頼するように設定することはできません。API Gateway HTTP APIは、REST APIでIAMポリシーとカスタムコンテキストを返すJWTオーソライザーを使用できません。APIキーは認証メカニズムとして機能しますが、JWTの検証やテナントクレームの評価、IAMポリシーの生成は行いません。