Deweloper udostępnia API internetowe za pośrednictwem Application Load Balancer (ALB) z dostępem do internetu, używając słuchacza HTTPS, i skonfigurował pulę użytkowników Amazon Cognito. Deweloper chce zapewnić, że każde żądanie do API jest uwierzytelniane przez Cognito. Co należy zrobić?

Aby zapewnić uwierzytelnianie wszystkich żądań przez Cognito, deweloper powinien dodać akcję authenticate-cognito do reguł słuchacza ALB. Ta akcja integruje ALB bezpośrednio z pulą użytkowników Amazon Cognito, umożliwiając ALB zarządzanie procesem uwierzytelniania. Ustawienie OnUnauthenticatedRequest na "deny" spowoduje, że ALB odrzuci żądania, które nie zostały uwierzytelnione, wymuszając logowanie przed dostępem do API. Dodanie reguły zwracającej 401 nie uwierzytelnia żądań, a jedynie je odrzuca. Umieszczenie API Gateway przed ALB jest możliwe, ale w tym scenariuszu ALB już obsługuje ruch HTTPS i ma wbudowaną integrację z Cognito, co czyni to rozwiązanie bardziej złożonym niż jest to konieczne. Użycie funkcji Lambda do walidacji nagłówka Authorization wymagałoby samodzielnego zarządzania logiką uwierzytelniania, co jest mniej efektywne niż wbudowana integracja ALB z Cognito.