ByteWorks exposeert een multi-tenant REST API op Amazon API Gateway (REST API) die JWT's moet accepteren die zijn uitgegeven door een externe IdP (Okta). Autorisatie moet tenant claims evalueren, een IAM-beleid retourneren en aangepaste context doorgeven aan de backend. Het team wil de autorisatielatentie verminderen via caching. Wat moeten ze implementeren?

Een Lambda authorizer (token-based) is de juiste keuze omdat deze de flexibiliteit biedt om JWT's van een externe IdP (Okta) te valideren, inclusief de handtekening en tenant claims. Het kan een IAM-beleid retourneren voor gedetailleerde autorisatie en aangepaste context doorgeven aan de backend. Het inschakelen van authorizer resultaatcaching met een geschikte identity cache key vermindert de latentie aanzienlijk door herhaalde validaties te voorkomen. Een Cognito user pool authorizer is niet geschikt omdat deze primair ontworpen is voor Cognito user pools en niet direct Okta-tokens vertrouwt zonder federatie, wat complexer is dan nodig. Migreren naar HTTP API's is een platformwijziging die niet direct de vereiste functionaliteit voor REST API's biedt. API keys zijn voor authenticatie van clients, niet voor autorisatie op basis van JWT-claims, en het valideren van JWT's alleen in de backend omzeilt de API Gateway-autorisatie.