API Gatewayの認可方式を使い分ける IAM・Cognito・Lambdaオーソライザー・JWT

SCSでは、APIの保護を認証と認可の観点で設計する問題が出ます。API Gatewayには複数の認可方式があり、呼び出し元の種類で選びます。

覚え方：3つの観点

• 呼び出し元：AWS内のサービスか、エンドユーザーか
• IdP：Cognitoか、外部のIdPか
• 制御の細かさ：独自ロジックが必要か

方式ごとの使いどころ

運用のポイント

Lambdaオーソライザーの結果はキャッシュでき（既定の有効期間は300秒）、認可の呼び出し回数を減らせます。ただしキャッシュ中は権限の変更が反映されないため、有効期間はセキュリティ要件と相談して決めます。加えてAWS WAFを関連付ければ、不正なリクエストを入口で遮断できます。

チェックリスト

• IAM認可、Cognito、JWT、Lambdaオーソライザーの使い分けを言える
• APIキーが認可に使えない理由を説明できる
• オーソライザーのキャッシュの影響を理解した
• WAFとリソースポリシーの役割を区別できる

まとめ

呼び出し元とIdPの2点から認可方式を絞り込みましょう。 理解度はクイズで確認し、最新の出題範囲はAWS認定 公式ページで確認しましょう。