基于AWS的多租户SaaS：API密钥管理与验证最佳实践咨询

一、租户API密钥/密钥对的管理方案 #

1. 优先采用AWS托管服务替代自建存储 #

别自己搭建数据库存密钥，直接用AWS Secrets Manager：

• 它会自动加密存储密钥对，支持按周期自动轮换密钥，无需手动维护更新；还能通过IAM细粒度权限控制，限制只有指定服务/角色能访问对应租户的密钥资源。
• 可以按租户ID规范命名秘密资源，比如tenant/{tenantId}/api-credentials，结合你现有Cognito的自定义租户属性，能快速关联到对应租户的密钥。
• 如需生成高强度密钥，用AWS KMS生成随机字节流再转成字符串，比自行编写随机生成逻辑更安全合规。

2. 自建存储的补充场景（不推荐） #

如果必须和现有租户数据存在同一数据库，需满足：

• 用AES-256加密存储密钥，加密密钥材料托管在KMS中，绝对不能硬编码在代码里。
• 定期手动轮换密钥，并留存完整的轮换日志，避免密钥泄露后无法追溯。

二、API密钥/密钥对的验证方案 #

必须用API Gateway Lambda自定义授权器，因为API Gateway默认的API Key机制仅绑定API阶段，无法关联租户级的权限逻辑，具体实现逻辑：

1. 配置Lambda授权器，从请求头（比如X-Tenant-API-Key和X-Tenant-API-Secret）提取密钥对信息。
2. 在Lambda函数内完成验证：
   • 从Cognito用户的自定义属性或请求头获取租户ID，以此为标识从Secrets Manager拉取对应租户的合法密钥对。
   • 对比请求传入的密钥与存储的合法密钥是否一致。
   • 验证通过后，生成包含租户专属权限的IAM策略（比如允许访问/tenant/{tenantId}/*路径）返回给API Gateway。
3. 开启授权器缓存，设置5-15分钟的缓存时长，减少Lambda调用次数，降低延迟与成本。

如果是租户服务端调用场景，也可以考虑用IAM角色+STS临时凭证替代API密钥，但API密钥模式更适合第三方集成类的场景。

内容的提问来源于stack exchange，提问作者Ning