amazon-web-services - 如何使用 AWS API Gateway 设置 OAuth2 身份验证提供商？

Question

AWS 有 API Gateway ，这使得设置、管理和监控 API 变得非常容易。但是，您可以为资源方法设置的安全授权设置仅限于 AWS-IAM(据我所知，这是一个内部 VPN 角色？)。

看来我对这个主题的研究一直指向我建立一个AWS Cognito pool ，但是当我在 aws 控制台中配置一个时，提供商的选项为:Amazon、Facebook、Google+、Twitter 、OpenID 和自定义。我想，在这种情况下，我会使用自定义？然后将我自己的 EC2 实例设置为 OAuth2 身份验证提供程序服务器。

鉴于 Oauth2 如今如此流行，令我惊讶的是竟然没有针对此的 AWS 服务；看起来他们已经走了整个 OpenId 或 SAML 路线。让我感到惊讶的是，缺乏有关如何在云中快速设置 Oauth2 Provider 的指南。

如有任何帮助，我们将不胜感激。

Answer 1

(1) 您想要在 API Gateway 上实现 OAuth 2.0 端点( authorization endpoint 和 token endpoint )吗？换句话说，您真的想在 API Gateway 上实现 OAuth 2.0 服务器 ( RFC 6749 ) 吗？

(2) 或者，您是否想通过 OAuth 2.0 保护在 API Gateway 上实现的 Web API access token ？

这两者是完全不同的东西。

因为您似乎想选择 OAuth 2.0 而不是 AWS-IAM，所以我猜您想要做的是 (2)。如果是这样，您可以在这里找到一个示例: Amazon API Gateway + AWS Lambda + OAuth

<小时/>更新于2016年4月6日

2016 年 2 月 11 日，博客条目 AWS Compute Blog ，“Introducing custom authorizers in Amazon API Gateway”，宣布自定义授权者已引入 Amazon API Gateway。借助此机制，基于 Amazon API Gateway 构建的 API 可以将客户端应用程序提供的不记名 token (例如 OAuth 或 SAML token )的验证委托(delegate)给外部授权方。

“Amazon APi Gateway Custom Authorizer + OAuth ”中描述了如何利用新机制 Custom Authorier 通过 OAuth 访问 token 保护在 Amazon API Gateway 上构建的 API。

<小时/>

仅供引用:

OAuth 2.0 是一种授权机制，而不是身份验证机制。但人们经常使用 OAuth 2.0 进行身份验证，并且有许多软件库和服务使用 OAuth 2.0 进行身份验证。

Cognito(身份)是一种与身份验证相关的解决方案，而不是授权。

Cognito 中的自定义是指定 OpenID Connect 提供商的地方。 OpenID Connect 是一种身份验证解决方案。让事情变得复杂的是“OpenID Connect 构建在 OAuth 2.0 之上”。请参阅OpenID Connect site了解详情。