AWSのAPI Gateway, Lambda, DynamoDBを使ったWebAPIで作成ユーザのみに編集権限をもたせたい

Question

AWSのAPI Gateway, Lambda, DynamoDBを使いWebAPIを作成しています。
例えば、日記投稿APIを作成したとして、日記の作成者のみに編集と削除の権限を与え、他のユーザは閲覧のみの権限とするように制限をかけたいのですが、どのように実装するのが良いでしょうか？

つまり、知りたいのは、

　・DynamoDBへの書き込み制限をユーザごとに変える方法はどうすべきか？

ということです。

アドバイスいただけますと幸いです。

Answer 1

以下のような流れが一般的かと思います。

• Amazon CognitoのUser Poolsを使ってログイン機構を実装
• ログイン時にCognitoからIDトークンを取得
• 日記投稿API呼び出し時にAuthorizationヘッダーにIDトークンを設定
• LambdaでIDトークンからユーザーを特定し、編集しようとしている日記データに含まれているユーザーと同じか判定
• ユーザーが同じならDynamoDBに書き込み

https://docs.aws.amazon.com/ja_jp/apigateway/latest/developerguide/apigateway-integrate-with-cognito.html

Comments

[sont]

回答ありがとうございます！
とても助かります。

> LambdaでIDトークンからユーザーを特定し、
ここなんですが、トークンからユーザの特定はどうやって行えるでしょうか？
ドユメントを読んでもいまひとつそこの部分をどうやって実装するかわからなかったのですが、アドバイスいただけるでしょうか？

[Kta-M]

IDトークンはJWTなのでデコードする必要があります。
https://aws.amazon.com/jp/premiumsupport/knowledge-center/decode-verify-cognito-json-token/

AWSがサンプルを出しているので参考にしてみてください。
https://github.com/awslabs/aws-support-tools/tree/master/Cognito/decode-verify-jwt