Api网关Cognito用户组

Question

我需要帮助！我正在尝试通过cognito访问api网关。

• 我创建了一个api网关，由cognito创建
• 在cognito中，我创建了一个拒绝访问api方法的组
• 我通过cognito认证，并在idToken中返回组

问题：我仍然可以访问这个api，为什么？ Cognito auth如何在api网关中工作？

Answer 1

直到dec-2017 cognito用户池授权方法实际上是执行身份验证而不是授权。没有可用的粒度授权，任何经过身份验证的用户（显示identity token）都可以调用受Cognito用户池保护的端点资源。对于实际授权（粒度授权），您必须使用IAM或自定义授权程序。

根据this announcement，Cognito现在也可以通过oauth 2范围传递access tokens。我个人还没试过这个，但我相信这应该可以解决你的问题。