如何为EventBridge触发的Lambda授权/绕过API Gateway的自定义Lambda Authorizer？

针对你的场景，可以直接修改现有自定义Lambda Authorizer，新增对AWS SigV4签名的支持，这比你提出的两个方案更简便，无需额外搭建资源或管理令牌轮换。

具体实现步骤 #

1. 更新自定义Lambda Authorizer逻辑 #

在原有验证自定义令牌和JWT的逻辑基础上，新增分支处理SigV4签名验证：

• 检查请求头是否包含Authorization（格式为AWS4-HMAC-SHA256 Credential=...）、X-Amz-Date等SigV4相关字段
• 使用AWS官方的SigV4验证库（比如Python的aws-sigv4、Java的AWS SDK）验证签名有效性，重点确认请求发起方的IAM角色是你指定的EventBridge触发Lambda的执行角色
• 若SigV4验证通过，直接生成允许访问的IAM政策，跳过自定义令牌和JWT的验证流程

2. 配置Lambda执行角色权限 #

给EventBridge触发的Lambda执行角色添加调用目标API Gateway的权限：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": "execute-api:Invoke",
      "Resource": "arn:aws:execute-api:<区域>:<账号ID>:<API ID>/<阶段>/<HTTP方法>/<资源路径>"
    }
  ]
}

3. 在Lambda中发起带SigV4签名的请求 #

使用AWS SDK或带SigV4支持的HTTP库发起请求，会自动处理签名：
以Python为例，用aws-requests-auth库实现：

import requests
from aws_requests_auth.boto_utils import BotoAWSRequestsAuth

# 初始化SigV4认证器，自动读取Lambda执行角色的凭证
auth = BotoAWSRequestsAuth(
    aws_host="<API Gateway域名>",
    aws_region="<区域>",
    aws_service="execute-api"
)

# 发起请求
response = requests.get(
    "https://<API Gateway域名>/<阶段>/<资源路径>",
    auth=auth
)

方案优势 #

• 无额外资源维护：复用现有公网API Gateway，无需搭建镜像服务
• 安全且免维护：依赖IAM权限体系，凭证自动轮换，无需手动管理令牌
• 权限粒度可控：可在Authorizer中限制仅指定IAM角色能通过SigV4认证，避免权限滥用

内容的提问来源于stack exchange，提问作者John Whilton