Авторизаторы API Gateway
Реализуйте различные авторизаторы API Gateway, включая пользовательские авторизаторы Lambda и авторизаторы JWT, для надёжной аутентификации
«Авторизаторы API Gateway» — бесплатный урок Serverless Backend with AWS Lambda & API Gateway на CoddyKit. Это урок 2 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения Serverless Backend with AWS Lambda & API Gateway, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс Serverless Backend with AWS Lambda & API Gateway содержит 4 уроков всего.
Части этого урока еще не переведены и отображаются на английском.
API Gateway Authorizers Intro
Welcome! In this lesson, we'll learn how to secure your serverless APIs using API Gateway Authorizers. These are crucial for controlling who can access your backend services.
Think of an authorizer as a security guard at the entrance of your API. Before any request reaches your Lambda function or other backend service, the authorizer checks the request's credentials.
Why Use API Gateway Authorizers?
Authorizers provide robust authentication and authorization for your APIs. Here's why they are essential:
- Protect Backend Resources: Prevent unauthorized access to your Lambda functions and other services.
- Decouple Auth Logic: Separate authentication logic from your main business logic, keeping your functions cleaner.
- Fine-Grained Access: Control access to specific API methods or resources based on user identity or roles.
Types of Authorizers
API Gateway offers several types of authorizers. Today, we'll focus on the two most flexible and commonly used:
- Lambda Custom Authorizers: A Lambda function you write to perform custom authentication.
- JWT Authorizers: API Gateway's native support for validating JSON Web Tokens (JWTs).
There's also IAM Authorizers, which use AWS IAM roles and policies, but we'll focus on the custom and JWT types here.
Lambda Custom Authorizers Explained
A Lambda Custom Authorizer is a Lambda function that you provide. API Gateway invokes this function with the incoming request's authorization token (e.g., from the Authorization header).
Your Lambda function then processes this token, performs its custom authentication logic (e.g., checks a database, calls an identity provider), and returns an IAM policy.
The Authorization Policy
The core output of your Lambda authorizer is an IAM policy document. This policy tells API Gateway whether to Allow or Deny the request to the target API endpoint.
It includes a principalId (the authenticated user's identifier) and a policyDocument specifying the permissions. If Allow, the request proceeds; if Deny, it's rejected with a 401 Unauthorized error.
Lambda Authorizer Code Example
Here's a simple Python Lambda function acting as an authorizer. It checks for a specific token and returns an 'Allow' or 'Deny' policy based on it.
Try changing the token in the test event to see different outputs!
def lambda_handler(event, context):
token = event.get('authorizationToken')
method_arn = event.get('methodArn')
if token == "my-secret-token-123":
# Allow access
return {
"principalId": "user123",
"policyDocument": {
"Version": "2012-10-17",
"Statement": [
{
"Action": "execute-api:Invoke",
"Effect": "Allow",
"Resource": method_arn
}
]
}
}
else:
# Deny access
return {
"principalId": "anonymous",
"policyDocument": {
"Version": "2012-10-17",
"Statement": [
{
"Action": "execute-api:Invoke",
"Effect": "Deny",
"Resource": method_arn
}
]
}
}
# --- Local Test (for demonstration) ---
if __name__ == "__main__":
print("Testing with 'my-secret-token-123':")
event_allow = {
"authorizationToken": "my-secret-token-123",
"methodArn": "arn:aws:execute-api:us-east-1:123456789012:/test/GET/items"
}
print(lambda_handler(event_allow, None))
print("\nTesting with 'invalid-token':")
event_deny = {
"authorizationToken": "invalid-token",
"methodArn": "arn:aws:execute-api:us-east-1:123456789012:/test/GET/items"
}
print(lambda_handler(event_deny, None))JWT Authorizers Explained
JWT (JSON Web Token) Authorizers allow API Gateway to natively validate JWTs. Instead of writing a Lambda function, you configure API Gateway with details about your JWT issuer.
When a request with a JWT comes in, API Gateway automatically performs validation steps like:
- Signature verification
- Expiration checks
- Audience and issuer validation
Configuring a JWT Authorizer
To set up a JWT authorizer, you typically provide API Gateway with:
- Issuer URL: The URL of the identity provider (e.g.,
https://cognito-idp.us-east-1.amazonaws.com/us-east-1_XXXXXXXfor Cognito). - Audience(s): A list of valid audiences for the token, ensuring the token is intended for your API.
- Identity Source: The header where the JWT is expected (e.g.,
$request.header.Authorization).
API Gateway then uses these details to fetch public keys and validate incoming JWTs.
When to Use Which Authorizer?
Choosing between Lambda and JWT authorizers depends on your needs:
- Lambda Authorizer: Use for highly custom authentication logic, integration with legacy systems, or identity providers not supporting standard OIDC/OAuth2. Offers maximum flexibility.
- JWT Authorizer: Ideal when using standard identity providers like AWS Cognito User Pools, Auth0, Okta, etc. It's simpler to set up and has less operational overhead.
For most modern applications using standard identity providers, JWT authorizers are often the preferred choice.
Authorizer Quick Check
Time for a quick check on what you've learned about API Gateway Authorizers!
Recap: Securing with Authorizers
You've now learned about API Gateway Authorizers, a vital component for securing your serverless APIs!
- Authorizers act as a front-door security check for your API endpoints.
- Lambda Custom Authorizers offer maximum flexibility for custom authentication logic.
- JWT Authorizers provide native, easy-to-configure validation for standard JSON Web Tokens.
By implementing authorizers, you ensure only legitimate requests access your backend services, enhancing the security of your applications.
Часто задаваемые вопросы
Урок «Авторизаторы API Gateway» бесплатный?
Да — полный текст урока «Авторизаторы API Gateway» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс Serverless Backend with AWS Lambda & API Gateway, подпишись на CoddyKit PRO. Курс Serverless Backend with AWS Lambda & API Gateway содержит 4 уроков всего.
Чему я научусь в уроке «Авторизаторы API Gateway»?
Реализуйте различные авторизаторы API Gateway, включая пользовательские авторизаторы Lambda и авторизаторы JWT, для надёжной аутентификации Ты практикуешь Serverless Backend with AWS Lambda & API Gateway с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.
Нужен ли мне опыт, чтобы начать Serverless Backend with AWS Lambda & API Gateway?
Предыдущий опыт не требуется. Serverless Backend with AWS Lambda & API Gateway на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 2 из 4.
Сколько времени занимает урок «Авторизаторы API Gateway»?
Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.
Можно ли писать и запускать код в этом уроке Serverless Backend with AWS Lambda & API Gateway?
Да. Каждый урок Serverless Backend with AWS Lambda & API Gateway включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.
Все уроки этого курса
- Роли и разрешения IAM
- Авторизаторы API Gateway
- Защита Lambda с помощью VPC
- Защита секретов с помощью AWS Secrets Manager