将 AWS Lambda 应用程序置于 SAML 身份验证后面的简单方法

Question

我有一个简单的 AWS Lambda 应用程序。我需要使用 SSO 前置它，我们的 IdP 提供商是 Okta。该应用程序很少被大量员工使用。在没有额外费用和信息安全复杂性的情况下，最简单的方法是什么（Amazon Cogito，...）？

Answer 1

注意：括号中为 (Amazon Cog[n]ito, ...)。我假设您提供 Amazon Cognito 作为您正在考虑的事情，而不是您想要避免的事情。

我认为一个相对简单且经济有效的方法是：

1. 将您的 AWS Lambda 应用程序置于 AWS API Gateway REST API 后面。如果您想让 Lambda 应用程序处理所有路径，请使用 Lambda 代理集成。
2. 使用 Okta 作为 SAML 身份提供商设置 Cognito 用户池 (https://repost.aws/knowledge-center/cognito-okta-saml-identity-provider)。
3. 为您的 API Gateway API 设置 Cognito 授权者。

用户池和 API 会产生一些相关成本，但我认为与您在自己的代码中处理所有 SAML 流所必须承担的复杂性相比，这会很小。