ByteWorks는 외부 IdP(Okta)에서 발급한 JWT를 수락해야 하는 Amazon API Gateway(REST API)에서 다중 테넌트 REST API를 노출합니다. 권한 부여는 테넌트 클레임을 평가하고, IAM 정책을 반환하며, 사용자 지정 컨텍스트를 백엔드에 전달해야 합니다. 팀은 캐싱을 통해 권한 부여 지연 시간을 줄이려고 합니다. 무엇을 구현해야 할까요?

이 시나리오에는 외부 IdP(Okta)의 JWT 검증, 테넌트 클레임 평가, IAM 정책 반환, 사용자 지정 컨텍스트 전달, 그리고 캐싱을 통한 지연 시간 감소가 필요합니다. Lambda Authorizer(토큰 기반)는 JWT 서명 및 클레임 검증, IAM 정책 및 사용자 지정 컨텍스트 반환을 모두 처리할 수 있습니다. 또한, Authorizer 결과 캐싱을 활성화하여 지연 시간을 줄일 수 있습니다. API Gateway Cognito user pool authorizer는 Okta 토큰을 직접 신뢰하도록 구성할 수 없으며, IAM 정책을 반환하는 기능도 제한적입니다. HTTP API로 마이그레이션하는 것은 REST API에서 필요한 모든 기능을 제공하지 않을 수 있습니다. API 키는 인증 메커니즘이 아니며, 백엔드에서만 JWT를 검증하면 API Gateway 수준에서 권한 부여를 수행할 수 없습니다.