Transfer family for FTPのlambdaの認証について

Question

前提

・Transfer family for FTPを作成しS3にアクセスする事を想定。

・IDプロバイダーはカスタムを設定。

・IDプロバイダはcloudformationで作成し、下記テンプレートを使用。
https://s3.amazonaws.com/aws-transfer-resources/custom-idp-templates/aws-transfer-custom-idp-secrets-manager-apig.template.yml

lambdaコード

Cloudformationで作成されるlambdaのコードは下記です。
ユーザー名などはSecret managerで保存されています。

import os
import json
import boto3
import base64
from botocore.exceptions import ClientError

def lambda_handler(event, context):
    resp_data = {}

    if 'username' not in event or 'serverId' not in event:
        print("Incoming username or serverId missing  - Unexpected")
        return response_data

    # It is recommended to verify server ID against some value, this template does not verify server ID
    input_username = event['username']
    print("Username: {}, ServerId: {}".format(input_username, event['serverId']));

    if 'password' in event:
        input_password = event['password']
        if input_password == '' and (event['protocol'] == 'FTP' or event['protocol'] == 'FTPS'):
          print("Empty password not allowed")
          return response_data
    else:
        print("No password, checking for SSH public key")
        input_password = ''

    # Lookup user's secret which can contain the password or SSH public keys
    resp = get_secret("SFTP/" + input_username)

    if resp != None:
        resp_dict = json.loads(resp)
    else:
        print("Secrets Manager exception thrown")
        return {}

    if input_password != '':
        if 'Password' in resp_dict:
            resp_password = resp_dict['Password']
        else:
            print("Unable to authenticate user - No field match in Secret for password")
            return {}

        if resp_password != input_password:
            print("Unable to authenticate user - Incoming password does not match stored")
            return {}
    else:
        # SSH Public Key Auth Flow - The incoming password was empty so we are trying ssh auth and need to return the public key data if we have it
        # この部分は不要
        # if 'PublicKey' in resp_dict:
        #     resp_data['PublicKeys'] = [resp_dict['PublicKey']]
        # else:
        #     print("Unable to authenticate user - No public keys found")
        #     return {}

    # If we've got this far then we've either authenticated the user by password or we're using SSH public key auth and
    # we've begun constructing the data response. Check for each key value pair.
    # These are required so set to empty string if missing
    if 'Role' in resp_dict:
        resp_data['Role'] = resp_dict['Role']
    else:
        print("No field match for role - Set empty string in response")
        resp_data['Role'] = ''

    # These are optional so ignore if not present
    if 'Policy' in resp_dict:
        resp_data['Policy'] = resp_dict['Policy']

    if 'HomeDirectoryDetails' in resp_dict:
        print("HomeDirectoryDetails found - Applying setting for virtual folders")
        resp_data['HomeDirectoryDetails'] = resp_dict['HomeDirectoryDetails']
        resp_data['HomeDirectoryType'] = "LOGICAL"
    elif 'HomeDirectory' in resp_dict:
        print("HomeDirectory found - Cannot be used with HomeDirectoryDetails")
        resp_data['HomeDirectory'] = resp_dict['HomeDirectory']
    else:
        print("HomeDirectory not found - Defaulting to /")

    print("Completed Response Data: "+json.dumps(resp_data))
    return resp_data

def get_secret(id):
    region = os.environ['SecretsManagerRegion']
    print("Secrets Manager Region: "+region)

    client = boto3.session.Session().client(service_name='secretsmanager', region_name=region)

    try:
        resp = client.get_secret_value(SecretId=id)
        # Decrypts secret using the associated KMS CMK.
        # Depending on whether the secret is a string or binary, one of these fields will be populated.
        if 'SecretString' in resp:
            print("Found Secret String")
            return resp['SecretString']
        else:
            print("Found Binary Secret")
            return base64.b64decode(resp['SecretBinary'])
    except ClientError as err:
        print('Error Talking to SecretsManager: ' + err.response['Error']['Code'] + ', Message: ' + str(err))
        return None

SFTPでIDプロバイダにサービスマネージドを選択した場合

上記の前提ではなく、SFTPで作成する場合はSFTPユーザーを作成し、SFTPユーザーにS3にアクセスを許可してIAMロールを付与しているので下記の様な流れかと思っています。

1.PCからSFTPサーバにアクセス。
ユーザ名やSSHキーを送信。
2.SFTPサーバで認証し、追加したSFTPユーザーからS3にアクセス。
SFTPユーザーにはS3へのアクセスを許可したロールを付与している。

このようにアクセスするユーザー自体にロールを付与しているので、ユーザがS3にアクセスできているのは理解できます。

FTPでIDプロバイダにカスタムを選択した場合

#####想定している処理①
1.PCからFTPサーバにアクセス。
ユーザ名とパスワードを送信
↓
2.API Gatewayからlambdaで認証し、問題なければFTPサーバにS3へのアクセスを許可したロールを付与。
↓
3.FTPサーバがS3へアクセス。

ただ、この場合上記のlambdaのコード内にはSecret Managerに保存されている情報との比較のみのコードしかないと思うのですが、どこでロールを付与しているのかが分かりません。

#####想定している処理②
1.PCからFTPサーバにアクセス。
ユーザ名とパスワードを送信
↓
2.予めFTPサーバにS3へのアクセスを許可したロールを付与しており、
その情報と送信されたユーザ名パスワードでlambdaが認証。
↓
3.問題なければS3へアクセス

この場合は、FTPサーバは初めからS3へアクセスするロールを持っておりlambdaから送られる情報が無いので、
lambdaの役割が理解できません。

質問

私の想定している様な処理であっていますでしょうか。
①場合はどこでS3アクセスを許可したロールを付与しているのでしょうか？
②場合はlambdaの役割は何なのでしょうか？

もし想定が間違っている場合は、処理の流れをご教授頂けますと幸いです。

Answer 1

自己解決しました。

想定している処理①の方法で処理が行われており、resp_dataにroleの情報などを格納し、レスポンスとして返す事でs3アクセスのロールを付与しているのだと理解できました。