クロスアカウントの Lambda オーソライザーを設定する - Amazon API Gateway
API Gateway コンソールを使用して クロスアカウント Lambda オーソライザーを設定する

クロスアカウントの Lambda オーソライザーを設定する

AWS Lambda 関数は、API オーソライザー関数とは異なる AWS アカウントからも使用できるようになりました。各アカウントは、Amazon API Gateway を利用できるリージョンであればどのリージョンでもかまいません。Lambda オーソライザー関数では、OAuth や SAML などのべアラートークン認証戦略を使用できます。これにより、複数の API Gateway API 間で簡単に一元管理し、主要な Lambda オーソライザー関数を共有できるようになります。

このセクションでは、Amazon API Gateway コンソールを使用してクロスアカウント Lambda オーソライザー関数を設定する方法を示します。

これらの手順は、AWS アカウントに API Gateway API、別のアカウントに Lambda オーソライザー関数が設定されていることを前提としています。

API Gateway コンソールを使用して クロスアカウント Lambda オーソライザーを設定する

最初のアカウント (API が設定されているアカウント) で Amazon API Gateway コンソールにサインインし、以下の操作を行います。

  1. API を指定し、[オーソライザー] を選択します。

  2. [新しいオーソライザーの作成] を選択します。

  3. [オーソライザーの作成] の [名前] 入力フィールドに、オーソライザー名を入力します。

  4. [タイプ] で、[Lambda] オプションを選択します。

  5. [Lambda 関数] で、2 番目のアカウントで作成した Lambda オーソライザー関数の完全な ARN をコピーアンドペーストします。

    注記

    Lambda コンソールのコンソールウィンドウの右上隅で、関数の ARN を検索できます。

  6. [Lambda 呼び出しロール] を空白のままにすると、API Gateway コンソールでリソースベースのポリシーが設定されます。ポリシーは、API Gateway に認可の Lambda 関数を呼び出すアクセス許可を付与します。IAM ロールの名前を入力して、API Gateway でオーソライザーの Lambda 関数を呼び出せるようにします。このようなロールの例については、「引き受け可能な IAM ロールを作成する」を参照してください。

    API Gateway コンソールでリソースベースのポリシーを設定するように選択した場合は、[Lambda 関数にアクセス許可を追加する] ダイアログが表示されます。[OK] を選択します。Lambda オーソライザーが作成されたら、適切な認証トークン値を使用して検証し、正常に機能することを確認します。

  7. [Lambda Event Payload] (Lambda イベントペイロード) には、TOKEN オーソライザーの [Token] (トークン)、または REQUEST オーソライザーの [Request] (リクエスト) を選択します。

  8. 前のステップの選択内容に応じて、次のいずれかを実行します。

    1. [トークン] オプションで、以下の操作を行います。

      1. [トークンソース] にヘッダーの名前を入力します。認証トークンを Lambda オーソライザーに送信するには、この名前のヘッダーが API クライアントに含まれている必要があります。

      2. オプションで、[トークン検証] 入力フィールドに RegEx ステートメントを指定します。API Gateway は、この式に対して、入力トークンの初期検証を実行し、認証が成功するとオーソライザーを呼び出します。これにより、無効なトークンの処理費用を減少できます。

      3. オーソライザーによって生成された認可ポリシーのキャッシュの実行有無によって、[認証のキャッシュ] で、[有効] オプションを選択またはクリアします。ポリシーのキャッシュが有効の場合、デフォルト値 (300) から [TTL] 値を変更できます。TTL=0 に設定すると、ポリシーのキャッシュは無効になります。ポリシーのキャッシュが有効の場合、[トークンのソース] で指定されているヘッダー名はキャッシュキーになります。

    2. [リクエスト] オプションで、以下の操作を行います。

      1. [ID ソース] に、選択したパラメータタイプのリクエストパラメータ名を入力します。サポートされているパラメータタイプは、Header、Query String、Stage Variable、および Context です。ID ソースを追加するには、[ID ソースの追加] を選択します。

        API Gateway では、リクエストオーソライザーのキャッシングキーとして、指定された ID ソースを使用します。キャッシュが有効の場合、API Gateway は、指定されているすべての ID ソースがランタイムに存在していることを確認できた場合のみ、Lambda 関数を呼び出します。指定された ID ソースが欠落しているか、null、または空の場合、API Gateway は、401 Unauthorized レスポンスを返します。オーソライザーの Lambda 関数を呼び出すことはありません。

        複数の ID ソースが定義されている場合、それらはすべて、オーソライザーのキャッシュキーを取得するために使用されます。キャッシュキー部分のいずれかを変更すると、オーソライザーは、キャッシュされたポリシードキュメントを破棄し、新しいドキュメントを作成します。

      2. [認証のキャッシュ] の [有効] オプションは選択したままにします。[TTL] は、デフォルト値 (300) のままにしておきます。

  9. [作成] を選択して、選択した API の新しい Lambda オーソライザーを作成します。

  10. 「Lambda 関数への許可の追加: 別のアカウントからの Lambda 関数を選択しました」というポップアップが表示されます。この関数に適切な関数ポリシーがあることを確認してください。これは、アカウント 123456789012: (この後に aws lambda add-permission コマンド文字列が続きます) から以下の AWS CLI コマンド実行して行うことができます。

    後ほど使用するために、コマンドをコピーして保存しておきます。コマンドは、オーソライザーの作成後に実行します。

  11. [Create Anyway] (このまま作成する) をクリックします。

  12. 前のステップでコピーした aws lambda add-permission コマンド文字列を、2 番目のアカウント用に設定された AWS CLI ウィンドウに貼り付けます。AUTHORIZER_ID をユーザーのオーソライザー ID に置き換えます。これにより、最初のアカウントから 2 番目のアカウントの Lambda オーソライザー関数へのアクセスが許可されます。