amazon-web-services - API 网关授权方接受 ID_token 但不接受 Access_Token

Question

我正在使用 API Gateway 和 Authorizer 来控制对 S3 存储桶中文件夹的访问。授权方配置为使用 Cognito 用户池。此用户池具有 OAuth 范围 phone和 email与它相关联，还有一个自定义范围，我打算授予对 S3 存储桶的读取访问权限。

但是，我发现授权方只会接受 ID token 以授予访问权限，如果我通过访问 token ，则返回未经授权。根据Amazon docs应该可以使用访问 token 。

我按照给定的方向here当请求访问 token 时，例如我设置了 auth像这样的变量:

var authData = {
        ClientId : '<removed>', 
        AppWebDomain : '<removed',
        TokenScopesArray : ['openid','email', 'domain.com/content/content.read'], 
        RedirectUriSignIn : '<removed>',
        RedirectUriSignOut : '<removed'
    }

我曾假设访问 token 就是我所需要的，这就是它的目的，但我无法让它工作。

Answer 1

如果您想将 API Gateway 与访问 token 一起使用，您必须跳过一些额外的环节。

有关完整详细信息，请查看“Integrate an API with a User Pool”，尤其是有关配置 COGNITO_USER_POOLS 授权方的部分 关于方法 .

具体来说，从方法请求的设置 > 授权:

• Choose the pencil icon next to OAuth Scopes.

• Type one or more full names of a scope that has been configured when the Amazon Cognito user pool was created. For example, following the example given in Create an Amazon Cognito User Pool, one of the scopes is com.hamuta.movies/drama.view. Use a single space to separate multiple scopes.

• To save the setting, choose the check mark icon.