无需联合身份，通过Cognito用户池组调用Lambda函数可行吗？

完全可以仅通过Cognito User Pools和Groups关联的IAM角色，在浏览器端JavaScript中直接调用Lambda函数，核心是利用STS的AssumeRoleWithWebIdentity API，通过用户登录后拿到的idToken来获取对应组角色的临时凭证，进而调用Lambda。下面是详细的逻辑说明和示例代码：

核心逻辑梳理 #

1. Cognito Group与IAM角色绑定：你已经为每个用户组关联了IAM角色，接下来需要给这些角色配置信任策略，允许来自你的Cognito用户池的用户（通过他们的idToken）扮演该角色。
2. 前端凭证流转：用户登录后拿到idToken（包含用户组信息的JWT），用这个token向STS请求临时IAM凭证，STS会验证token的有效性并检查用户是否属于允许的组，返回临时的accessKey/secretKey/sessionToken。
3. Lambda调用：用临时凭证初始化Lambda客户端，直接调用lambda.invoke执行函数，此时Lambda会以关联组的IAM角色权限运行。

步骤1：配置IAM角色的信任策略 #

每个组对应的IAM角色需要添加如下信任策略（替换占位符为你的实际信息）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Federated": "cognito-idp.<你的区域>.amazonaws.com/<你的用户池ID>"
      },
      "Action": "sts:AssumeRoleWithWebIdentity",
      "Condition": {
        "StringEquals": {
          "cognito-idp.<你的区域>.amazonaws.com/<你的用户池ID>:aud": "<你的用户池客户端ID>"
        },
        "ForAnyValue:StringLike": {
          "cognito-idp.<你的区域>.amazonaws.com/<你的用户池ID>:cognito:groups": ["admins", "customers"]
        }
      }
    }
  ]
}

• cognito:groups条件限制只有属于指定组的用户才能扮演该角色，确保权限隔离。
• 同时要给角色添加Lambda调用权限（比如lambda:InvokeFunction）以及业务所需的权限（如dynamodb:PutItem等）。

步骤2：前端JavaScript示例代码 #

假设你已经通过Cognito Auth SDK完成了用户登录，拿到了idToken和用户所属组信息：

// 初始化AWS SDK（替换为你的区域）
AWS.config.update({ region: 'us-east-1' });

// 从Cognito登录结果中获取idToken和用户组
const authResult = await Auth.signIn(username, password);
const idToken = authResult.signInUserSession.idToken.jwtToken;
const userGroups = authResult.signInUserSession.idToken.payload['cognito:groups'];

// 组与角色ARN的映射（可根据实际情况维护）
const groupToRoleMap = {
  'admins': 'arn:aws:iam::123456789012:role/Cognito-Admins-Role',
  'customers': 'arn:aws:iam::123456789012:role/Cognito-Customers-Role'
};

// 获取当前用户对应的角色ARN（这里取第一个组，可根据业务逻辑调整）
const userRoleArn = groupToRoleMap[userGroups[0]];

// 创建STS客户端
const sts = new AWS.STS();

// 请求临时IAM凭证
try {
  const stsResponse = await sts.assumeRoleWithWebIdentity({
    RoleArn: userRoleArn,
    RoleSessionName: `cognito-session-${Date.now()}`, // 唯一会话名，避免冲突
    WebIdentityToken: idToken,
    DurationSeconds: 3600 // 临时凭证有效期，最长1小时
  }).promise();

  // 用临时凭证初始化Lambda客户端
  const lambda = new AWS.Lambda({
    credentials: new AWS.Credentials({
      accessKeyId: stsResponse.Credentials.AccessKeyId,
      secretAccessKey: stsResponse.Credentials.SecretAccessKey,
      sessionToken: stsResponse.Credentials.SessionToken
    })
  });

  // 调用Lambda函数（替换为你的函数名和参数）
  const lambdaResponse = await lambda.invoke({
    FunctionName: 'Your-Lambda-Function-Name',
    Payload: JSON.stringify({
      action: 'getUserData',
      userId: authResult.username
    })
  }).promise();

  // 处理Lambda返回结果
  const result = JSON.parse(lambdaResponse.Payload);
  console.log('Lambda执行结果:', result);
} catch (error) {
  console.error('流程出错:', error);
}

关键注意事项 #

• 动态角色映射：如果用户属于多个组，你需要根据业务逻辑选择对应的角色（比如取优先级最高的组）。
• 权限最小化：确保每个组的IAM角色只拥有完成业务所需的最小权限，遵循权限最小化原则。
• CORS配置：AWS的STS和Lambda API端点默认支持跨域请求，但需要确保你的Cognito用户池客户端配置了正确的Allowed Origins。
• 凭证安全：临时凭证有效期有限，且会话名唯一，降低泄露风险。

内容的提问来源于stack exchange，提问作者Addaxian