使用AWS AD存储用户的API网关

Question

我有一个客户端，有一个本地AD服务器...我正在开发一个应用程序运行通过API网关，将使用自定义授权人授权端点。本地AD服务器将用于对内部用户进行身份验证，考虑在AWS中为外部用户部署AD服务器，并在两者之间使用某种“链接”来连接它们。

我想查询AD来验证用户，然后获取他们的IAM角色以允许访问该API。这是一个很好的实现吗？

Answer 1

如果您能够运行AD FS并将其暴露给Cognito，我建议您考虑使用Cognito Federated Identity并将Method设置为需要AWS_IAM授权。下面是该文档的链接AD FS：

https://aws.amazon.com/blogs/mobile/announcing-saml-support-for-amazon-cognito/

另外，如果你不能运行AD FS和正在运行的AWS目录服务Microsoft Active Directory的用于其他目的，您可以创建一个信任通过直接连接/ VPN与您的本地AD之间的关系。然后，您可以创建一个服务，该服务使用AD凭据并通过LDAP（配置为与VPC配合使用的lambda函数）对用户进行身份验证。最后，可以创建一个自定义授权人，为后续调用验证令牌并返回适当的IAM策略。