无法使用IAM和appsyncclient从lambda中验证appsync graphql api

Question

我正在使用Amplify堆栈，需要对我的GraphQL API执行一些操作，该API背后有DynamoDB。我的lambda函数中的请求返回一个未经授权的错误：“未授权在type sourceSync上访问getSourcesync”，其中getSourcesync是gql Query Query，sourceSync是模型名称。

我的schema.grapqhl对于此特定模型的设置如下。注意Auth规则允许私人提供者IAM：

type SourceSync @model (subscriptions: { level: off }) @auth(rules: [
    {allow: private, provider: iam}
    {allow: groups, groups: ["Admins"], provider: userPools},
    {allow: groups, groups: ["Users"], operations: [create], provider: userPools},
    {allow: groups, groupsField: "readGroups", operations: [create, read], provider: userPools},
    {allow: groups, groupsField: "editGroups", provider: userPools}]) {
    id: ID! @primaryKey
    name: String
    settings_id: ID @index(name: "bySettingsId", queryField: "sourceSyncBySettingsId")
    settings: Settings @hasOne(fields: ["settings_id"])
    childLookup: String
    createdAt: AWSDateTime!
    updatedAt: AWSDateTime!
    _createdBy: String
    _lastChangedBy: String
    _localChanges: AWSJSON
    readGroups: [String]
    editGroups: [String]
}

我的lambda函数的角色具有以下内联策略。 （在本文中为安全目的省略了实际ID值）：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "appsync:GraphQL"
            ],
            "Resource": [
                "arn:aws:appsync:us-east-1:111myaccountID:apis/11mygraphqlapiID/*"
            ],
            "Effect": "Allow"
        },
        {
            "Action": [
                "appsync:GetType"
            ],
            "Resource": [
                "*"
            ],
            "Effect": "Allow"
        }
    ]
}

最后，我的lambda函数设置为如下，并在一个简单的查询测试中设置：

/* stuff */

"use strict";
const axios = require("axios");
const awsAppSync = require("aws-appsync").default;
const gql = require("graphql-tag");
require("cross-fetch/polyfill");
const { PassThrough } = require("stream");
const aws = require("aws-sdk");

aws.config.update({
    region: process.env.AWS_REGION,

});

const appSync = new aws.AppSync();

const graphqlClient = new awsAppSync({
    url: process.env.API_GRAPHQLAPIENDPOINTOUTPUT,
    region: process.env.AWS_REGION,
    auth: {
        type: "AWS_IAM",
        credentials: aws.config.credentials,
    },
    disableOffline: true
});

exports.handler = async (event, context) => {
    
    console.log('context :: '+JSON.stringify(context));
    
    console.log('aws config :: '+JSON.stringify(aws.config));
    
          const sourceSyncTypes = await appSync
          .getType({
            apiId: process.env.API_GRAPHQLAPIIDOUTPUT,
            format: "JSON",
            typeName: "SourceSync",
          })
          .promise();
          console.log('ss = '+JSON.stringify(sourceSyncTypes));
    
    try {
    const qs = gql`query GetSourceSync {
  getSourceSync(id: "ov3") {
    id
    name
  }
}`;
    const res = await graphqlClient.query({query: qs, fetchPolicy: 'no-cache'});
    console.log(JSON.stringify(res));
    
    }
    catch(e) {
        console.log('ERR :: '+e);
        console.log(JSON.stringify(e));
    }
    
};

Answer 1

找到了解决方案，在允许函数访问GraphQL API之后，似乎存在一个问题。但是，有一个区别要注意：

1. 如果GraphQl API是Amplify App堆栈的一部分，则仅通过该应用程序的Amplify CLI创建的函数（例如：ex：ex： amplify add add add function ），并且通过那里可以访问API，将能够访问API。

   • 在更新期间，当您创建或更新功能以授予其权限时，您必须确保在放大推动操作期间，API堆栈还将更新。您可以通过简单地在Amplify/backend/api // schema.graphql文件中的注释中添加或删除空间来触发此触发。

2. 如果直接通过AWS控制台创建了“ ADHOC”，但是它正在尝试访问作为Amplify App stack创建的GraphQL API，那么您将需要在Amplify/Backend中添加该函数的角色/api/＆lt; apiname＆gt;/custom-roles.json格式

     { 
     “ AdminRoleNames”：[＆lt; cool Name＆gt;“，”＆lt;角色名称2＆gt;“，...] 
   }
    

文档中参考参考在这里。

3. 如果您的API或LAMBDA函数都不是用Amplify CLI作为应用程序堆栈的一部分而创建的，那么只需要访问GraphQL资源以查询，突变和订阅Lambda在IAM中的角色，通过内联策略或Pre-Pre-pre-pre-定义的政策。