如何在AWS Lambda中实现高效的AWS原生组织成员授权机制？

我正在开发一款允许用户创建组织的应用，组织创建者自动成为该组织的管理员及成员。现有接口：

• GET /organization/:organizationId/members：返回指定组织的成员列表

需求 #

• 仅组织管理员可调用此接口获取成员列表；
• 若管理员被降级或移除出组织，需立即撤销其访问权限。

技术栈 #

• 采用AWS Lambda与API Gateway构建；
• 接口由Cognito授权器保护；
• 数据存储于DynamoDB。

当前拟采用的伪代码方案 #

// Pseudo-code
async function lambda (params) {
  const requestorId = params.userId;

  // 获取用户成员身份
  const isAdmin = await isUserAdminOfOrganization(requestorId); // 调用DynamoDB

  // 检查用户是否为管理员
  if (!isAdmin) { 
   // 若不是，返回未授权响应
   throw Unathorized()
  }

  // 若是，获取成员列表...
  const membersList = await getMembersList() // 调用DynamoDB

  // ...并返回
  return membersList
}

请问是否存在更高效的AWS原生方式来处理此类授权需求？

1. API Gateway Lambda自定义授权器（提前拦截授权） #

把管理员权限检查从业务Lambda移到API Gateway的Lambda授权器中，请求到达业务Lambda前完成校验，避免无效的Lambda调用：

• 授权器Lambda接收Cognito传递的用户ID和请求路径中的organizationId，直接查询DynamoDB验证用户是否为目标组织的管理员；
• 验证通过则返回允许访问的IAM策略，否则返回拒绝策略；
• 为满足即时撤销权限要求，需将授权器的缓存时间设为0（或极短），确保每次请求都实时校验权限，避免缓存导致的权限延迟失效。

2. IAM细粒度权限+DynamoDB条件表达式 #

如果成员列表查询直接由Lambda操作DynamoDB，可通过IAM角色的条件策略限制访问范围：

• 为Lambda执行角色配置DynamoDB权限，添加条件判断：仅当用户是目标组织管理员时，允许查询对应组织的成员数据；
• 但这种方式依赖Cognito用户属性实时同步管理员状态，且Cognito属性更新存在延迟，若要实现即时权限撤销，仍需配合实时查询DynamoDB的授权器。

3. Cognito组+自定义授权器（适合批量权限管理） #

• 将组织管理员加入对应Cognito组（例如org-{organizationId}-admin），在授权器中检查用户是否属于该组；
• 注意：Cognito组的变更存在15-60分钟的缓存，无法满足即时撤销需求，仅适合对权限失效延迟不敏感的场景。

方案对比 #

• 当前方案：业务Lambda内做权限检查，逻辑简单但会浪费Lambda资源（未授权请求也会触发Lambda）；
• Lambda授权器方案：提前拦截未授权请求，节省资源，且通过关闭缓存实现即时权限撤销，是更高效的AWS原生实现方式；
• IAM条件方案：适合纯DynamoDB操作场景，但依赖属性同步，即时性不如直接查询DynamoDB的授权器。

内容的提问来源于stack exchange，提问作者Roman Mahotskyi