amazon-web-services - 使用 API key 或授权方授权 AWS API Gateway

Question

在 AWS API 网关中，
- 我们可以设置一个资源来要求 API Key 进行访问。
- 我们还可以设置另一个需要授权的资源(例如 JWT token ，通过 lambda 函数或 AWS Cognito 处理)。

问题 : 我们可以将资源配置为在上述两种情况中的任何一种情况下都可以访问吗？目前，如果我们同时启用“API Key Required”和“Authorization”，则请求同时需要 API Key 和 Authorization。我们希望它通过两者中的一个。

黑客/解决方法 : 为同一个资源创建两份副本，并分别授权，一份使用API​​ Key，一份使用授权人。

Answer 1

认证 , 标识 , 授权是相互交织的概念。随着我对 Auth 的了解越来越多，这是我的答案:

API key 用于项目/应用程序识别和授权

智威汤逊用于用户认证和授权。

API Key 在项目/应用程序范围内，JWT 在用户范围内。换句话说， API key 仅标识应用程序，而不是应用程序的用户。

因此，不要同时使用 JWT 和 API key 授权同一个端点是有意义的，因为这会降低用户和应用程序的治理粒度。但是，如果您的用例需要这种类型的授权，则建议的解决方法可能会奏效。