Lambda调用AppSync：为何需IAM角色+请求签名？授权模式需调整吗？

1. 为何仅分配IAM角色无法完成授权？ #

AppSync的IAM授权要求请求必须通过AWS SigV4签名验证，这是AWS服务间安全通信的强制标准。Lambda虽然持有具备权限的IAM角色，但默认发起的HTTP请求不会自动生成并携带该签名，AppSync接收到未签名的请求时，即便IAM权限配置正确，也会直接判定为未授权请求。

2. AppSync授权模式是否需要调整？ #

需要调整。当前你的默认授权为API密钥，其次是Cognito和IAM，Lambda使用IAM授权时需注意两点：

• 确保IAM授权模式已被启用（在AppSync控制台的API设置中添加IAM作为允许的授权类型）
• 若API密钥为默认授权模式，Lambda请求未携带API密钥会被直接拒绝，建议将IAM设为可用授权模式之一，同时在GraphQL操作对应的数据源或字段权限中明确允许IAM访问（细粒度配置场景）

3. Lambda调用AppSync简易操作指南 #

步骤1：配置Lambda的IAM角色权限 #

为Lambda执行角色添加允许调用目标AppSync操作的权限，示例IAM策略如下：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": ["appsync:GraphQL"],
      "Resource": [
        "arn:aws:appsync:你的AWS区域:你的账户ID:apis/你的AppSyncAPIID/types/Query/fields/你的查询操作名",
        "arn:aws:appsync:你的AWS区域:你的账户ID:apis/你的AppSyncAPIID/types/Mutation/fields/你的变更操作名"
      ]
    }
  ]
}

步骤2：在Lambda中实现签名请求（Node.js示例） #

使用AWS SDK的SignatureV4工具对GraphQL请求签名后发送，代码示例：

const { SignatureV4 } = require("@aws-sdk/signature-v4");
const { defaultProvider } = require("@aws-sdk/credential-provider-node");
const { HttpRequest } = require("@aws-sdk/protocol-http");
const { default: fetch } = require("node-fetch");

const APPSYNC_ENDPOINT = "你的AppSync API端点地址";
const AWS_REGION = "你的AWS区域";

exports.handler = async () => {
  // 定义GraphQL查询
  const graphqlRequest = {
    query: `query GetSampleData {
      listSampleItems {
        items {
          id
          title
        }
      }
    }`,
    variables: {}
  };

  // 构建HTTP请求对象
  const request = new HttpRequest({
    method: "POST",
    headers: {
      "Content-Type": "application/json",
      host: new URL(APPSYNC_ENDPOINT).hostname
    },
    hostname: new URL(APPSYNC_ENDPOINT).hostname,
    path: new URL(APPSYNC_ENDPOINT).pathname,
    body: JSON.stringify(graphqlRequest)
  });

  // 生成SigV4签名
  const signer = new SignatureV4({
    credentials: defaultProvider(),
    region: AWS_REGION,
    service: "appsync",
    sha256: (str) => require("crypto").createHash("sha256").update(str).digest("hex")
  });

  const signedRequest = await signer.sign(request);

  // 发送签名后的请求
  const response = await fetch(APPSYNC_ENDPOINT, {
    method: "POST",
    headers: signedRequest.headers,
    body: signedRequest.body
  });

  const result = await response.json();
  return {
    statusCode: 200,
    body: JSON.stringify(result)
  };
};

步骤3：验证AppSync授权配置 #

• 登录AppSync控制台，进入目标API的设置页面，确认IAM已被添加至授权模式列表
• 若使用细粒度权限控制，在GraphQL schema对应的类型/字段权限设置中，允许IAM角色访问目标操作

内容的提问来源于stack exchange，提问作者Nobe's