DataForgeは、Lambda関数URLを介して小規模な内部管理ツールを公開しています。AWS Organizationからの呼び出し元のみがそれを呼び出せるようにアクセスを制限し、SigV4認証を要求する必要があります。API Gatewayを追加したくありません。どうすればよいですか？

正解は、関数URLのAuthTypeをAWSIAMに設定し、aws:PrincipalOrgIDが組織IDと等しい場合にのみlambda:InvokeFunctionUrlを許可するリソースベースのポリシーをアタッチする、です。この方法により、AWS Organizations内の指定された組織からの呼び出し元のみがSigV4認証を使用して関数URLを呼び出すことができ、API Gatewayを追加せずにアクセスを制限できます。 Cognitoユーザープールオーソライザーは、ユーザー認証には適していますが、組織レベルでのアクセス制限には直接対応していません。APIキーは認証メカニズムとして機能しますが、SigV4認証の要件を満たさず、キーの配布と管理が必要になります。AuthType=NONEは認証を無効にするため、セキュリティ要件を満たしません。CORSはブラウザベースのアクセスを制限するものですが、認証メカニズムではありません。