Как аутентифицировать бессерверный веб-запрос с помощью AWS Web API и Lambda?

TL;DR Решение: создайте Cognito Identity Pool, назначьте пользователям политики возможность загружать только файлы с префиксом их Identity ID.

Если я правильно понимаю ваш вопрос, вы хотите настроить способ, чтобы изображение, хранящееся на S3, было доступно для просмотра всем, но редактировалось только пользователем, который его загрузил. Фактически, вы можете подтвердить право собственности на файл, повернуть изображение и загрузить повернутое изображение на S3 в браузере, не используя функцию Lambda.

Шаг 1: Создайте пул пользователей Cognito, чтобы создать пользовательский каталог. Если у вас уже есть система аутентификации входа/регистрации пользователя, вы можете пропустить этот шаг.

Шаг 2. Создайте пул идентификации Cognito, чтобы включить федеративное удостоверение, чтобы ваши пользователи могли получать временные учетные данные AWS из пула удостоверений и использовать их для загрузки файлов на S3, минуя ваш сервер/лямбду.

Шаг 3. При создании пула удостоверений Cognito вы можете определить политику в отношении того, к каким ресурсам S3 разрешен доступ пользователю. Вот пример политики

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "mobileanalytics:PutEvents",
        "cognito-sync:*",
        "cognito-identity:*"
      ],
      "Resource": [
        "*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:GetObject"
      ],
      "Resource": [
        "arn:aws:s3:::YOUR_S3_UPLOADS_BUCKET_NAME/*"
      ]
    },
    {
      "Effect": "Allow",
      "Action": [
        "s3:PutObject"
      ],
      "Resource": [
        "arn:aws:s3:::YOUR_S3_UPLOADS_BUCKET_NAME/${cognito-identity.amazonaws.com:sub}*"
      ]
    }
  ]
}

Обратите внимание, что второй блок назначает «S3:GetObject» всем файлам в корзине S3; а третий блок присваивает "S3:PutObject" ТОЛЬКО ФАЙЛАМ с префиксом Cognito Identity ID пользователя.

Шаг 4. Во внешнем JS получите временные учетные данные из пула удостоверений Cognito.

export function getAwsCredentials(userToken) {
  const authenticator = `cognito-idp.${config.cognito.REGION}.amazonaws.com/${config.cognito.USER_POOL_ID}`;

  AWS.config.update({ region: config.cognito.REGION });

  AWS.config.credentials = new AWS.CognitoIdentityCredentials({
    IdentityPoolId: config.cognito.IDENTITY_POOL_ID,
    Logins: {
      [authenticator]: userToken
    }
  });

  return new Promise((resolve, reject) => (
    AWS.config.credentials.get((err) => {
      if (err) {
        reject(err);
        return;
      }

      resolve();
    })
  ));
}

Шаг 5: Загрузите файлы на S3 с учетными данными, добавьте к имени файла префикс идентификатора Cognito Identity ID пользователя.

export async function s3Upload(file, userToken) {
  await getAwsCredentials(userToken);

  const s3 = new AWS.S3({
    params: {
      Bucket: config.s3.BUCKET,
    }
  });
  const filename = `${AWS.config.credentials.identityId}-${Date.now()}-${file.name}`;

  return new Promise((resolve, reject) => (
    s3.putObject({
      Key: filename,
      Body: file,
      ContentType: file.type,
      ACL: 'public-read',
    },
    (error, result) => {
      if (error) {
        reject(error);
        return;
      }

      resolve(`${config.s3.DOMAIN}/${config.s3.BUCKET}/${filename}`);
    })
  ));
}