使用 API Gateway 控制台配置 Lambda 授权方 - Amazon API Gateway
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

使用 API Gateway 控制台配置 Lambda 授权方

创建 Lambda 函数并确认它有效后，执行下列步骤以在 API Gateway 控制台中配置 API Gateway Lambda 授权方 (以前称为自定义授权方)。

使用 API Gateway 控制台配置 Lambda 授权方

  1. 登录 API Gateway 控制台。

  2. 创建新的 API 或选择现有 API，然后选择授权方。

  3. 选择创建授权方。

  4. 对于授权方名称，输入授权方名称。

  5. 对于授权方类型，选择 Lambda。

  6. 对于 Lambda 函数，选择您在其中创建 Lambda 授权方函数的 Amazon Web Services 区域，然后输入函数名称。

  7. 将 Lambda 调用角色留空，以允许 API Gateway 控制台设置基于资源的策略。此策略授予 API Gateway 调用授权方 Lambda 函数的权限。您还可选择输入 IAM 角色的名称，以允许 API Gateway 调用授权方 Lambda 函数。有关此类角色的示例，请参阅创建一个可代入的 IAM 角色。

  8. 对于 Lambda 事件负载，请选择令牌（对于 TOKEN 授权方）或请求（对于 REQUEST 授权方）。（这与将类型属性设置为 TOKEN 或 REQUEST 的效果相同。）

  9. 根据上一步的选择，执行下列操作之一：

    1. 对于令牌选项，执行下列操作：

      • 对于令牌来源，输入包含授权令牌的标头名称。API 客户端必须包括此标头名称才能将授权令牌发送到 Lambda 授权方。

      • 或者，对于令牌验证，输入正则表达式语句。API Gateway 将针对此表达式执行对输入令牌的初始验证并在成功验证后调用授权方。这有助于减少对您 API 的调用。

      • 要缓存授权方生成的授权策略，请将授权缓存保持开启状态。在启用策略缓存后，您可选择修改 TTL 值。将 TTL 设置为零将禁用策略缓存。在启用策略缓存后，令牌来源中指定的标头名称将成为缓存键。如果在请求中将多个值传递到此标头，则所有值都将成为缓存键，并保留顺序。

        注意

        默认 TTL 值为 300 秒。最大值为 3600 秒；目前不能提高此限制。

    2. 对于请求选项，执行以下操作：

      • 在身份源类型中，选择一个参数类型。支持的参数类型为 Header、Query string、Stage variable 和 Context。要添加更多身份源，请选择添加参数。

      • 要缓存授权方生成的授权策略，请将授权缓存保持开启状态。在启用策略缓存后，您可选择修改 TTL 值。将 TTL 设置为零将禁用策略缓存。

        API Gateway 将使用指定的身份来源作为请求授权方缓存键。在启用缓存后，API Gateway 将仅在成功确认所有指定的身份来源在运行时存在后才调用授权方的 Lambda 函数。如果指定的身份来源缺失、为 null 或为空，则 API Gateway 将返回 401 Unauthorized 响应，而不调用授权方 Lambda 函数。

        如果定义了多个身份来源，则它们都将用于派生授权方的缓存键。更改缓存键的任意部分将导致授权方丢弃缓存的策略文档并生成新的文档。如果在请求中传递了具有多个值的标头，则所有值都将成为缓存键的一部分，并保留顺序。

      • 在关闭缓存后，无需指定身份源。API Gateway 直接将请求传递给授权方 Lambda 函数。

    注意

    要启用缓存，授权方必须返回适用于 API 中所有方法的策略。要强制执行特定于方法的策略，您可以关闭授权缓存。

  10. 选择创建授权方。

  11. 在为 API 创建授权方之后，您可先测试授权方，然后再针对方法配置授权方。要测试授权方，请选择授权方的名称。

    1. 对于 TOKEN 授权方，在令牌值下输入有效的令牌。选择测试授权方。此令牌将作为您在授权方的令牌来源设置中指定的标头，传递到 Lambda 函数。

    2. 对于 REQUEST 授权方，在身份源类型下，选择一个参数类型并输入值。要添加更多参数，请选择添加参数。选择测试授权方。

      您无法修改测试调用的上下文变量，但可以修改 Lambda 函数的 API Gateway 授权方测试事件模板。然后，您可以使用修改后的上下文变量来测试 Lambda 授权方函数。有关更多信息，请参阅《Amazon Lambda 开发人员指南》中的 Testing Lambda functions in the console。

    除了使用 API Gateway 控制台之外，您还可以使用 Amazon CLI 或适用于 API Gateway 的 Amazon 开发工具包来测试对授权方的调用。要使用 Amazon CLI 执行此操作，请参阅 test-invoke-authorizer。

    注意

    方法执行的测试调用和授权方的测试调用是独立的过程。

    要使用 API Gateway 控制台测试方法调用，请参阅使用控制台测试 REST API 方法。要使用 Amazon CLI 测试方法调用，请参阅 test-invoke-method。

    要测试方法和配置的授权方的调用，请部署 API，然后使用 cURL 或 Postman 调用方法，从而提供所需的令牌或请求参数。

下一过程将介绍如何将 API 方法配置为使用 Lambda 授权方。

配置 API 方法以使用 Lambda 授权方

  1. 选择资源。选择新方法或选择现有方法。如有必要，请创建新资源。

  2. 在方法请求选项卡上的方法请求设置下，选择编辑。

  3. 对于授权方，从下拉菜单中选择您刚刚创建的 Lambda 授权方。

  4. （可选）如果您希望将授权令牌传递到后端，请选择 HTTP 请求标头。选择添加标头，然后添加授权标头的名称。在名称中，输入标头名称，该名称与您在为 API 创建 Lambda 授权方时指定的令牌来源名称相匹配。此步骤不适用于 REQUEST 授权方。

  5. 选择保存。

  6. 选择部署 API，将 API 部署到某个阶段。记下调用 URL 值。您将在调用 API 时需要它。对于使用阶段变量的 REQUEST 授权方，您还必须在阶段页面中定义必需的阶段变量并指定其值。