Een bedrijf runt een productie webapplicatie die een Amazon API Gateway HTTP API omvat die een AWS Lambda-functie aanroept. De Lambda-functie verwerkt verzoeken en slaat gegevens op in een database. Het bedrijf wil geïntegreerde gebruikersautorisatie en gebruikt al een externe identiteitsprovider die OAuth-tokens uitgeeft voor andere applicaties. Welke oplossing voldoet aan deze autorisatievereisten?

De correcte optie beschrijft het gebruik van een API Gateway Lambda-authorizer, wat de meest flexibele en gangbare methode is om externe OAuth-tokens te valideren met API Gateway. De Lambda-authorizer kan de tokens van de externe identiteitsprovider (IdP) inspecteren en de autorisatiebeslissing nemen. De webapplicatie moet de tokens van de IdP verkrijgen en meesturen in de Authorization-header. De andere opties zijn minder geschikt: Integratie met AWS Directory Service is niet direct bedoeld voor het valideren van externe OAuth-tokens voor API Gateway. Het gebruik van AWS IAM Identity Center (voorheen AWS SSO) met zero-configuration authenticatie is meer gericht op het beheren van toegang tot AWS-accounts en applicaties, niet direct voor het valideren van externe OAuth-tokens via API Gateway voor een HTTP API. Het aanmaken van IAM-gebruikers en het extraheren van parameters is geen standaard of veilige methode voor het afhandelen van OAuth-gebaseerde autorisatie met externe IdP's.