ByteWorks udostępnia wielodostępne API REST w Amazon API Gateway (REST API), które musi akceptować JWT wydane przez zewnętrznego dostawcę tożsamości (Okta). Autoryzacja musi oceniać roszczenia najemców, zwracać politykę IAM i przekazywać niestandardowy kontekst do backendu. Zespół chce zmniejszyć opóźnienia autoryzacji poprzez buforowanie. Co powinien zaimplementować?

Poprawna odpowiedź to skonfigurowanie autoryzatora Lambda (opartego na tokenach). Autoryzatory Lambda są elastyczne i pozwalają na walidację niestandardowych JWT, w tym tych wydanych przez zewnętrznych dostawców tożsamości, takich jak Okta. Mogą one oceniać roszczenia najemców, zwracać polityki IAM oraz przekazywać niestandardowy kontekst do backendu. Co najważniejsze, autoryzatory Lambda obsługują buforowanie wyników autoryzacji, co znacznie redukuje opóźnienia. Użycie klucza pamięci podręcznej tożsamości (np. tokenu JWT) zapewnia, że polityka jest buforowana dla konkretnego użytkownika. Autoryzator puli użytkowników Cognito nie jest odpowiedni, ponieważ nie pozwala na bezpośrednie zaufanie tokenom Okta bez federacji i nie oferuje takiej elastyczności w ocenie roszczeń i zwracaniu polityk IAM. Migracja do API Gateway HTTP APIs i użycie autoryzatora JWT nie jest rozwiązaniem dla REST API i nie obsługuje zwracania polityk IAM. Poleganie na kluczach API i walidacja JWT tylko w backendzie nie zapewnia autoryzacji na poziomie API Gateway i nie pozwala na buforowanie autoryzacji.