借助AWS Amplify实现Lambda通过API Key访问所有者受限模型

当前代码的问题 #

• 授权规则搭配错误：allow: private 与 provider: apiKey 不匹配，Amplify中private授权针对的是Cognito认证用户，而apiKey对应的是allow: public规则，这样的配置会导致权限逻辑混乱，无法达到预期效果。
• 安全性隐患：用apiKey作为后台Lambda的授权方式，生产环境中apiKey易泄露，违背了“保持所有者受限”的安全要求。

更优解决方案：基于IAM角色的后端授权 #

推荐给Lambda配置专属IAM角色，同时调整模型的@auth规则，既保留所有者受限的逻辑，又让可信的后端Lambda能访问所有模型数据。

调整后的模型代码 #

type YourModel
@model
@auth(
  rules: [
    { allow: owner }
    { allow: private, provider: iam }
  ]
) {
  id: ID!
  # 你的其他模型字段...
}

方案说明 #

1. 所有者权限保留：allow: owner规则确保普通用户只能创建、访问和修改自己拥有的YourModel数据，符合生产环境的权限隔离要求。
2. Lambda的可信访问：allow: private, provider: iam规则允许通过IAM角色授权的实体（比如你的后台Lambda）访问所有YourModel数据。IAM授权基于角色权限，无需暴露敏感密钥，安全性远高于apiKey。

Lambda配置要点 #

• 给Lambda的执行角色添加AppSync访问权限：在IAM控制台中，为Lambda角色配置允许appsync:GraphQL操作的策略，资源指定为你的AppSync API的ARN。
• Lambda调用AppSync时使用IAM签名：借助AWS SDK（比如JavaScript的@aws-sdk/client-appsync），通过IAM角色自动签名请求，无需手动处理密钥。

备选方案：自定义授权器（复杂场景适用） #

如果需要更精细的权限控制，可以使用allow: custom规则搭配Lambda授权器，通过自定义逻辑判断请求是否来自可信的后端Lambda。但这种方式配置复杂度更高，非必要场景优先选择IAM方案。

内容的提问来源于stack exchange，提问作者James Parsons