AWS 上 RBAC 的自定义应用程序特定权限

Question

Amazon Cognito 提供基于角色的访问控制 (RBAC) 功能，允许管理员允许或拒绝用户访问各种 AWS 资源。但是，假设我有一个在 AWS Lambda 上运行并使用 Cognito 进行用户管理的无服务器 Web 应用程序。我的应用程序有自己的一组特定于应用程序的操作（例如添加小部件、删除袋熊、更新 foo）。我的数据库对象彼此之间存在关系（例如，每个袋熊都拥有多个 foo）。我想要拥有记录级别的权限（例如，如果该用户拥有该 foo 所属的 wombat，则该用户只能删除该 foo）。这些是特定于应用程序的权限。将这些特定于应用程序的权限（作为 Web 应用程序的开发人员，我可以在脑海中轻松理解）映射到底层 AWS 服务将是一个巨大的痛苦。此外，如果我想切换到不同的 AWS 服务或切换到其他云服务提供商，我将必须完全重做我的所有权限。最好有一种方法让应用程序管理员/设计者（例如我）创建我的应用程序特定的一组语义上有意义的权限，并提供一个服务，我可以查询该服务以查看给定用户是否具有给定的权限请求对此对象执行操作。AWS 是否提供此类服务，或者我是否必须维护自己的特定于应用程序的权限/角色数据库表并推出自己的功能来提供此服务？

有什么建议么？我使用 python 作为后端语言，使用 Amazon RDS 上的 MYSQL 作为数据库。