AWS AppSync（Cognito认证）：Lambda触发突变的认证与客户端通知

你遇到的这个场景其实很常见——外部服务（比如Lambda）直接修改DynamoDB后，没法触发AppSync的订阅通知。你的思路是通过调用AppSync突变来触发订阅，但卡在了认证冲突上，不用慌，有几种方案可以解决，而且不需要放弃Cognito认证：

方案1：给AppSync启用多认证类型（Cognito + IAM） #

AppSync支持同时配置多种认证方式，这样Web客户端继续用Cognito用户池认证，Lambda用IAM认证来调用指定的突变，互不影响。具体步骤：

1. 配置AppSync多认证

   • 打开AppSync控制台，进入你的API的「Settings」页面
   • 在「Authentication providers」里，除了保留现有的Cognito用户池，添加「IAM」作为额外的认证方式
   • 确保Cognito用户池是默认认证（这样Web客户端不需要修改配置）

2. 给Lambda角色添加IAM权限

   • 找到Lambda对应的IAM角色，添加一条自定义权限策略，允许调用你的AppSync突变：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "appsync:GraphQL",
           "Resource": [
             "arn:aws:appsync:你的区域:你的账号ID:apis/你的API ID/types/Mutation/fields/你的突变名称"
           ]
         }
       ]
     }
     

   • 这样Lambda就有权限调用指定的突变，不需要Cognito账号

3. Lambda中调用AppSync突变

   • 用AWS SDK调用AppSync的GraphQL API，比如Node.js可以用@aws-sdk/client-appsync，并配置IAM签名：

     const { AppSyncClient, GraphQLCommand } = require("@aws-sdk/client-appsync");
     const client = new AppSyncClient({
       region: "你的区域",
       credentials: { /* Lambda的默认IAM凭证，无需额外配置 */ },
       url: "你的AppSync API端点"
     });
     
     // 调用突变的示例代码
     const command = new GraphQLCommand({
       query: `mutation UpdateItem($input: UpdateItemInput!) {
         updateItem(input: $input) {
           id
           content
         }
       }`,
       variables: { input: { /* 你的更新数据 */ } }
     });
     
     const response = await client.send(command);
     

方案2：直接用AppSync的Publish API推送订阅消息 #

如果不想通过突变绕一圈，还可以直接用AppSync的Publish API，让Lambda直接向订阅主题发送通知，跳过突变解析的环节，效率更高：

1. 获取订阅的ARN

   • 在AppSync控制台的「Subscriptions」页面，找到对应的订阅字段，查看它的ARN（格式类似arn:aws:appsync:区域:账号ID:apis/API ID/subscriptions/订阅名称）

2. 给Lambda角色添加Publish权限

   • 给Lambda的IAM角色添加权限，允许appsync:Publish动作，资源是订阅的ARN：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Action": "appsync:Publish",
           "Resource": "你的订阅ARN"
         }
       ]
     }
     

3. Lambda中调用Publish API

   • 用AWS SDK调用Publish接口，直接推送更新数据到订阅：

     const { AppSyncClient, PublishCommand } = require("@aws-sdk/client-appsync");
     const client = new AppSyncClient({ region: "你的区域" });
     
     const command = new PublishCommand({
       apiId: "你的AppSync API ID",
       subscription: {
         fieldName: "你的订阅字段名称",
         arguments: { /* 如果订阅有参数，比如按ID过滤，这里传入对应参数 */ }
       },
       payload: JSON.stringify({ /* 要推送给客户端的更新数据，格式和订阅返回一致 */ })
     });
     
     await client.send(command);
     

方案3：用DynamoDB Streams触发AppSync Pipeline Resolver（进阶） #

如果你的场景是只要DynamoDB数据变化就通知客户端，还可以把DynamoDB Streams和AppSync的Pipeline Resolver结合：

• 给DynamoDB表开启流，捕获所有修改事件
• 创建一个Lambda作为AppSync的数据源，配置它从DynamoDB流中读取变化
• 编写Pipeline Resolver，当流中有新事件时，自动触发订阅通知

这个方案不需要Lambda主动调用AppSync，而是AppSync自己监听流的变化，适合需要全量同步DynamoDB变更的场景。

关于你的核心疑问：Lambda必须用Cognito认证吗？ #

完全不需要！Lambda作为AWS服务，可以通过IAM权限直接调用AppSync的API，只要你给它配置正确的权限，并且AppSync允许IAM认证（作为多认证的一部分）。你之前遇到的问题是因为只启用了Cognito认证，没有开启IAM作为补充认证方式，所以Lambda的IAM权限无法生效。

内容的提问来源于stack exchange，提问作者Damon Maria