API 网关授权方 - IAM 策略未缓存

Question

我试图缓存授权方 lambda 在第一次验证 JWT 令牌时返回的 IAM 策略。我已在 API Gateway Authorizer 中启用并设置authorizerResultTtlInSeconds为3500秒。但是，我仍然看到一个请求在缓存时间范围内发送到 Authorizer lambda 函数。

我的 node.js 脚本如下：

const jwt = require('jsonwebtoken');
const jwksClient = require('jwks-rsa');

const keyClient = jwksClient({
    jwksUri: process.env.JWKS_URI
})

const allow = {
    "principalId": "user",
    "policyDocument": {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Action": "execute-api:Invoke",
                "Effect": "Allow",
                "Resource": process.env.RESOURCE // RESOURCE = *
            }
        ]
    }
}

const unauthorized = {
    "error": "Unauthorized",
}

//excluded verificationJWTOptions object and getSigningKey function for simplicity
function validateJWTToken(token, callback) {
    jwt.verify(token, getSigningKey, verificationJWTOptions, (error) => {
        if (error) {
            callback(unauthorized)
        } else {
            callback(null, allow)
        }
    })
}

exports.handler = (event, context, callback) => {
    const token = extractTokenFromHeader(event);
    validateJWTToken(token, callback);
}

不知道我错过了什么。任何帮助将非常感激！

Answer 1

我发现我没有正确测试 API Gateway Authorizer 缓存逻辑。我一直在测试各种场景，在这里发现了两种情况：

• 当令牌有效时：当endpoint调用an 时，请求将转到验证/使令牌无效的 Lambda 授权方。IAM 策略由函数返回给 API Gateway Authorizer 并被缓存（在这种情况下 - for 58 minutes, 20 seconds）。

  中指定的标头名称Token Source成为缓存键，授权方生成的授权策略成为缓存值。API 网关将检查 中指定的标头Token Source。如果标头的值与密钥匹配，API Gateway 将不会调用 Lambda 授权器，而是根据配置的TTL.

  如果在缓存时间范围内生成了新令牌，则会再次调用 Lambda 授权程序并缓存此令牌。因此，如果使用这两个令牌调用终端节点，则不会调用 Lambda 授权程序，因为这些令牌的 IAM 策略已经在给定的缓存时间范围内缓存，并且响应会被返回。

• 当令牌是无效的：例如，如果令牌的有效期为30 minutes自11:00:00AM到11:30:00AM，并且缓存TTL设置为58 minutes。客户端使用该令牌发出 2 个 API 请求，一个 at11:29:59AM和另一个 at 11:31:3APM- 然后这两个请求都将被接受，尽管第二个请求使用了过期的令牌。这基本上意味着JWT token缓存扩展了TTL。