사용자는 서드 파티 IdP를 통해 Amazon Cognito를 거쳐 API에 인증합니다. 개발자는 IdP 속성 Department를 사용자 지정 Lambda Authorizer에 매핑하여 영업 부서 사용자만 허용하려고 합니다. 개발자가 IdP에서 자신의 부서를 Sales로 변경했지만 여전히 액세스가 거부됩니다. 로그에는 액세스 토큰에 여전히 Department=Engineering으로 표시됩니다. 토큰이 Sales 대신 Engineering을 계속 보고하는 이유는 무엇일까요?

사용자 지정 Lambda Authorizer에서 권한 부여 캐싱이 활성화되어 있으면, Lambda 함수가 이전에 반환한 권한 부여 정책이 캐시됩니다. 사용자의 Department 속성이 IdP에서 Sales로 변경되었음에도 불구하고, 캐시된 정책에는 이전 값인 Engineering이 포함되어 있어 계속해서 액세스가 거부됩니다. 캐시된 정책의 TTL(Time To Live)이 만료되기 전까지는 새로운 속성 변경 사항이 반영되지 않습니다. Amazon Cognito 사용자 풀 자체에는 권한 부여 캐싱 기능이 없으며, IAM 역할의 태그는 토큰 속성 매핑과는 직접적인 관련이 없습니다.