Terraform配置AWS AppSync GraphQL API集成Lambda授权器后需手动更新设置的问题咨询

我完全懂你这种每次部署后还要手动改设置的烦躁——咱们直接把Lambda授权器的配置整合到Terraform模块里，让部署全程自动化，再也不用手动操作啦！

你当前的配置只加了IAM认证，要把Lambda授权器也纳入Terraform管理，只需要修改additional_authentication_provider块，添加Lambda授权器的具体配置就行。下面是完整的示例配置：

module "appsync" {
  source = "terraform-aws-modules/appsync/aws"
  name   = "api-appsync-${var.region}-${var.stage_name}"
  schema = file("modules/appsync/schema.graphql")

  api_keys = {
    default = null # 此密钥将在7天后过期
  }

  additional_authentication_provider = {
    # 保留原有的IAM认证
    iam = {
      authentication_type = "AWS_IAM"
    }
    # 添加Lambda授权器配置
    lambda_auth = {
      authentication_type = "AWS_LAMBDA"
      lambda_authorizer = {
        # 替换成你的Lambda授权器函数ARN，注意格式要符合AppSync要求
        authorizer_uri = "arn:aws:apigateway:${var.region}:lambda:path/2015-03-31/functions/${aws_lambda_function.your_lambda_authorizer.arn}/invocations"
        # 指定身份来源，比如从请求头的Authorization字段获取
        identity_source = "$request.header.Authorization"
        # 授权结果的缓存时间（秒），根据你的需求调整
        authorizer_result_ttl_in_seconds = 300
        # 如果你的Lambda需要特定角色才能被AppSync调用，这里指定角色ARN
        # authorizer_iam_role_arn = aws_iam_role.appsync_lambda_auth_role.arn
      }
    }
  }

  # 其他原有配置...
}

关键参数说明： #

• authorizer_uri：必须是AppSync能调用的Lambda函数ARN，格式固定为arn:aws:apigateway:区域:lambda:path/2015-03-31/functions/你的LambdaARN/invocations，记得替换成你实际的Lambda函数ARN和区域。
• identity_source：定义AppSync从哪里提取身份信息，常见的是请求头的Authorization，你也可以根据自己的授权逻辑调整（比如多个来源用逗号分隔）。
• authorizer_result_ttl_in_seconds：缓存授权结果的时间，设置合适的值可以减少Lambda的调用次数，优化性能。
• authorizer_iam_role_arn：如果你的Lambda函数需要AppSync通过特定IAM角色调用，就把这个角色的ARN填进去；如果Lambda的资源策略已经允许AppSync调用，这个参数可以省略。

配置完成后，下次执行terraform apply时，Terraform会自动把Lambda授权器配置到你的AppSync API中，完全替代手动操作。如果之前你已经手动创建了Lambda授权器，建议把对应的Lambda函数和IAM角色也纳入Terraform管理，这样整个部署链路都是自动化的，避免配置漂移。

内容的提问来源于stack exchange，提问作者Kieran Crown