如何将Kerberos用作API Gateway Lambda授权器的认证机制？

可以在Lambda授权器中集成Kerberos认证，以此确保仅已认证用户能访问API。核心逻辑是让Lambda函数验证请求携带的Kerberos票据，判断用户身份合法性后，向API Gateway返回对应的授权策略。

核心实现思路 #

• API Gateway将客户端请求中包含Kerberos票据的请求头（通常是Authorization头，格式为Negotiate <base64编码的token>）传递给Lambda授权器
• Lambda函数提取并验证Kerberos票据：与Kerberos KDC（密钥分发中心）交互，校验票据的有效性、过期时间、用户身份等信息
• 验证通过则返回允许访问的IAM策略；验证失败则返回拒绝策略

关键注意事项 #

• Lambda需部署在能访问Kerberos KDC的网络环境中：若KDC在VPC内，需将Lambda配置到对应VPC的子网，确保网络连通
• 需为Lambda安装Kerberos相关依赖：Python环境推荐使用gssapi库，注意要在与Lambda运行时兼容的环境（如Amazon Linux 2/2023）中编译打包依赖
• 客户端需正确生成并发送Kerberos票据：通常通过SPNEGO协议封装后，放入请求头中

Python示例代码 #

import os
import base64
import gssapi
from gssapi.exceptions import GSSError

def lambda_handler(event, context):
    # 提取请求头中的Kerberos票据
    auth_header = event['headers'].get('Authorization', '')
    if not auth_header.startswith('Negotiate '):
        return generate_deny_policy()
    
    token = base64.b64decode(auth_header.split(' ', 1)[1])
    
    try:
        # 初始化GSSAPI上下文，验证Kerberos票据
        service_principal = gssapi.Name(os.environ['API_SERVICE_PRINCIPAL'], gssapi.NameType.kerberos_principal)
        security_ctx = gssapi.SecurityContext(usage='accept', name=service_principal)
        security_ctx.init_sec_context(token)
        
        # 获取已认证的用户主体
        user_principal = security_ctx.initiator_name.display_as(gssapi.NameType.kerberos_principal)
        
        # 返回允许访问的策略（可根据实际需求调整资源范围）
        return generate_allow_policy(user_principal)
    
    except GSSError as e:
        print(f"Kerberos认证失败: {str(e)}")
        return generate_deny_policy()

def generate_allow_policy(user_id):
    return {
        'principalId': user_id,
        'policyDocument': {
            'Version': '2012-10-17',
            'Statement': [
                {
                    'Action': 'execute-api:Invoke',
                    'Effect': 'Allow',
                    'Resource': '*'
                }
            ]
        },
        'context': {
            'authenticatedUser': user_id
        }
    }

def generate_deny_policy():
    return {
        'principalId': 'unauthenticated',
        'policyDocument': {
            'Version': '2012-10-17',
            'Statement': [
                {
                    'Action': 'execute-api:Invoke',
                    'Effect': 'Deny',
                    'Resource': '*'
                }
            ]
        }
    }

部署要点 #

1. 在Lambda中设置环境变量API_SERVICE_PRINCIPAL，值为API对应的Kerberos服务主体（例如HTTP/api.yourdomain.com@YOUR_REALM.COM）
2. 打包gssapi及其依赖库：可在Amazon Linux环境下安装依赖后，将相关库文件打包成Lambda层或直接放入部署包
3. 配置API Gateway的Lambda授权器，确保Authorization头被传递到Lambda函数
4. 配置Lambda的VPC和安全组，允许其访问KDC的TCP/UDP 88端口

内容的提问来源于stack exchange，提问作者John