Lambda授权器如何检测IAM用户是否已禁用？基于API Gateway与外部Webhook的权限管控问询

针对你的场景，确实不需要解析IAM凭证报告CSV（这个方法的风险确实很高），Lambda授权器可以通过直接调用IAM API或者结合缓存的方式来判断目标IAM用户（dd_transfer）是否处于启用状态，以下是具体可行的方案：

1. 调用IAM GetLoginProfile API查询用户密码状态 #

因为你提到禁用用户的方式是置空密码，而IAM用户的密码信息存储在其登录配置文件（Login Profile）中，我们可以通过iam:GetLoginProfile API来检查该用户是否拥有有效的登录配置（即密码是否存在）：

步骤说明： #

• 给Lambda授权器的执行角色添加权限：
  为Lambda角色添加最小权限的IAM策略，仅允许查询dd_transfer用户的登录配置，避免过度授权：

  {
      "Version": "2012-10-17",
      "Statement": [
          {
              "Effect": "Allow",
              "Action": "iam:GetLoginProfile",
              "Resource": "arn:aws:iam::YOUR_ACCOUNT_ID:user/dd_transfer"
          }
      ]
  }
  

• 在Lambda授权器中添加状态检查逻辑：
  根据不同客户端的认证方式（Iterable的Base64令牌、Punchh的明文用户名+掩码密码），先提取并验证凭证属于dd_transfer用户，然后调用GetLoginProfile API：

  • 如果API返回成功，说明用户密码存在（处于活跃状态），返回允许访问的策略；
  • 如果API返回NoSuchEntity错误，说明用户的登录配置已被删除（密码置空，即禁用状态），返回拒绝访问的策略。

  示例Python代码片段：

  import boto3
  import base64
  from botocore.exceptions import ClientError
  
  iam = boto3.client('iam')
  TARGET_USER = 'dd_transfer'
  
  def lambda_handler(event, context):
      # 处理Iterable的Base64令牌认证
      if 'authorizationToken' in event:
          auth_token = event['authorizationToken'].split(' ')[1]
          decoded = base64.b64decode(auth_token).decode('utf-8')
          username, password = decoded.split(':')
          if username != TARGET_USER:
              return generate_deny_policy()
      # 处理Punchh的用户名+掩码密码认证
      elif 'body' in event:
          # 解析请求体中的username和masked_password，验证是否为TARGET_USER
          # 这里需要根据Punchh的请求格式调整解析逻辑
          username = ... # 从请求体提取用户名
          if username != TARGET_USER:
              return generate_deny_policy()
  
      # 检查用户登录配置状态
      try:
          iam.get_login_profile(UserName=TARGET_USER)
          # 用户密码存在，返回允许策略
          return generate_allow_policy(event['methodArn'])
      except ClientError as e:
          if e.response['Error']['Code'] == 'NoSuchEntity':
              # 用户密码已置空（禁用），返回拒绝策略
              return generate_deny_policy()
          else:
              # 其他错误，默认拒绝
              return generate_deny_policy()
  
  def generate_allow_policy(method_arn):
      return {
          'principalId': 'dd_transfer',
          'policyDocument': {
              'Version': '2012-10-17',
              'Statement': [{
                  'Action': 'execute-api:Invoke',
                  'Effect': 'Allow',
                  'Resource': method_arn
              }]
          }
      }
  
  def generate_deny_policy():
      return {
          'principalId': 'dd_transfer',
          'policyDocument': {
              'Version': '2012-10-17',
              'Statement': [{
                  'Action': 'execute-api:Invoke',
                  'Effect': 'Deny',
                  'Resource': '*'
              }]
          }
      }
  

2. 缓存用户状态以优化性能 #

如果担心频繁调用IAM API会带来延迟或成本问题，可以结合缓存机制：

• 使用Lambda环境变量：定期通过另一个CloudWatch Events触发的Lambda函数检查dd_transfer的状态，更新环境变量中的状态标记（比如USER_ACTIVE=true/false）；
• 使用DynamoDB缓存：存储用户的当前状态，设置较短的TTL（比如5分钟），授权器优先从DynamoDB读取状态，过期后再调用IAM API更新缓存。

这种方式可以减少IAM API的调用次数，同时保证状态的时效性。

关键注意事项 #

• 最小权限原则：确保Lambda角色仅能查询指定的dd_transfer用户，避免权限过大导致的风险；
• 错误处理：处理IAM API调用的异常情况（比如网络错误），默认返回拒绝策略，避免未授权访问；
• 认证逻辑的完整性：在检查用户状态前，必须先验证请求中的凭证确实属于dd_transfer用户，防止攻击者冒充其他用户绕过检查。

内容的提问来源于stack exchange，提问作者Anthony Williams