Tworzysz interfejsy API za pomocą API Gateway REST API i musisz ograniczyć dostęp do niektórych zasobów, tak aby tylko zarejestrowani użytkownicy mogli z nich korzystać. Tokeny powinny automatycznie wygasać i być odświeżalne. Jak spełnić te wymagania?

Prawidłową opcją jest użycie puli użytkowników Amazon Cognito (user pool) z autoryzatorem Cognito w API Gateway. Pula użytkowników Cognito zapewnia zarządzanie tożsamością dla zarejestrowanych użytkowników, w tym uwierzytelnianie i wydawanie tokenów tożsamości (ID tokens) oraz tokenów dostępu (access tokens). Te tokeny automatycznie wygasają i mogą być odświeżane, co spełnia wymagania. Autoryzator Cognito w API Gateway bezproblemowo integruje się z pulą użytkowników, walidując te tokeny przed zezwoleniem na dostęp do zasobów API. Pozostałe opcje są nieprawidłowe: Pula tożsamości Amazon Cognito (identity pool) służy do uzyskiwania tymczasowych poświadczeń AWS dla dostępu do innych usług AWS, a nie do bezpośredniej autoryzacji w API Gateway dla zarejestrowanych użytkowników. Implementacja niestandardowego autoryzatora AWS Lambda z własną bazą danych tokenów jest możliwa, ale znacznie bardziej skomplikowana i wymaga ręcznego zarządzania wygasaniem i odświeżaniem tokenów, co jest już wbudowane w Cognito. Używanie użytkowników IAM dla każdego użytkownika API jest niepraktyczne i nie skaluje się dla dużej liczby użytkowników, a także nie zapewnia łatwego zarządzania sesjami ani odświeżania tokenów.