amazon-web-services - AWS API Gateway - 将 Cognito 用户组获取到自定义授权方

Question

我正在使用带有用户组的 Cognito 用户池，并且我有一个带有自定义授权方的 AWS API 网关。授权方可以生成有效的 IAM 策略，到目前为止一切顺利。我想根据用户组生成更具体的 IAM 策略，但我无法在授权方中获取用户组信息。我的集成请求映射是:

"groups" : "$context.authorizer.claims['cognito:groups']"

但在授权者中我得到

"type": "TOKEN", 
"authorizationToken": "...", 
"methodArn": "arn:aws:execute-api:eu-west-1:...:.../test/GET/bills"

如何获取授权方的用户组属性？

Answer 1

难题解决了:映射没问题，但它们实际上是 API 网关和 lambda 之间的“桥梁”，因此它们将信息传递给“目标”lambda 函数而不是授权者，这是一种在这种情况下是“拦截器”。

获取授权者中用户组的方法是调用

CognitoIdentityServiceProvider.adminListGroupsForUser()

为此目的效果很好。