AWS API Gateway后端API认证：AWS Signature V4鉴权及访问策略相关问题

第一个问题：能否用SigV4完成身份认证并配置后端API访问策略 #

• 完全可以。
  最常用的实现方式是在AWS API Gateway侧开启IAM授权：客户端发起请求前，用持有的IAM凭证（包括永久IAM用户凭证、STS生成的临时角色凭证）对请求内容生成SigV4签名并带到请求中，API Gateway会自动完成签名合法性校验。校验通过后，签名对应的IAM身份信息会被透传给后端，你可以直接为对应IAM身份绑定访问策略，限制其可访问的API路径、请求方法、甚至特定请求参数，也可以在后端逻辑里直接拿到透传的身份ARN做自定义权限控制。如果是API Gateway集成Lambda的场景，身份ARN会直接放在event.requestContext.identity.userArn字段中，可直接读取使用。

第二个问题：SigV4是否仅可用于访问AWS基础设施API #

• 不是。
  SigV4只是AWS开源的一套签名认证规范，不限制只能用于AWS官方的基础设施服务API：你完全可以把它用在API Gateway托管的所有业务API上，哪怕是完全不运行在AWS生态内的自研后端服务，也可以自行实现SigV4签名校验逻辑，对接AWS IAM做身份校验，再基于校验通过的身份做权限控制。

内容的提问来源于stack exchange，提问作者jhurtas