Kullanıcılar, Amazon Cognito aracılığıyla üçüncü taraf bir IdP üzerinden bir API'de kimlik doğrulaması yapar. Geliştirici, IdP özniteliği Department'ı özel bir Lambda yetkilendiricisine eşledi ve yalnızca Satış departmanı kullanıcılarına izin vermeyi amaçladı. Geliştirici, IdP'deki departmanını Satış olarak değiştirmesine rağmen erişim reddedildi; loglar, erişim token'ının hala Department=Engineering olduğunu gösteriyor. Token'ın neden Satış yerine hala Engineering olarak rapor verdiğini ne açıklayabilir?

Doğru cevap, özel Lambda yetkilendiricisinde yetkilendirme önbelleğe almanın etkinleştirilmiş olmasıdır. Lambda yetkilendiricileri, performansı artırmak için yetkilendirme kararlarını önbelleğe alabilir. Kullanıcının departmanı IdP'de güncellense bile, önbelleğe alınmış eski yetkilendirme kararı belirli bir süre boyunca kullanılmaya devam eder. Bu süre dolana veya önbellek manuel olarak temizlenene kadar yetkilendirici eski departman bilgisini kullanır. Diğer seçenekler yanlıştır: Amazon Cognito kullanıcı havuzunda yetkilendirme önbelleğe alma diye bir mekanizma yoktur. Cognito, kimlik doğrulama sağlar, yetkilendirme kararlarını önbelleğe almaz. IAM rollerindeki etiketler, yetkilendirme önbelleğe alma davranışını veya token içeriğini doğrudan etkilemez. IAM rolleri, Lambda'nın AWS kaynaklarına erişimini yönetir, API yetkilendirme mantığını değil.