기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

AWS Lambda 권한 부여자 사용

인증 흐름은 다음 단계로 구성됩니다.

사전 조건

1. Lambda 권한 부여자 설정

토큰 추출 구현:

// in Node.js
export const handler = async (event) => {
  try {
    const token = event.bearerToken;
    const operation = event.operation;
    }
}
      

2. 데이터 스토어 구성

권한 부여 프로세스 세부 정보

토큰 검증 규칙

HealthImaging은 다음 토큰 클레임을 평가합니다.

이벤트 및 응답 스키마

AHI는 다음 입력으로 함수를 호출하고 다음 출력을 예상합니다.

권한 부여자 입력

{
  "datastoreId": "{datastore id}",
  "operation": "{Healthimaging API name e.g. GetDICOMInstance}",
  "bearerToken": "{access token}"
}
      

권한 부여자 출력

{
  "isTokenValid": {true or false},
  "roleArn": "{role arn or empty string meaning to deny the request explicitly}"
}
      

요청 처리

초기 요청 처리:

Lambda 권한 부여 프로세스:

구현 흐름

클라이언트 측 인증 흐름

설정 단계

Lambda 권한 부여자 구현

IAM 구성

권한 부여자에게는 다음과 같은 리소스 정책 문이 있어야 합니다.

{
    "Sid": "health-imaging",
    "Effect": "Allow",
    "Principal": {
        "Service": "medical-imaging.region.amazonaws.com"
    },
    "Action": "lambda:InvokeFunction",
    "Resource": "arn:aws:lambda:region:123456789012:function:LambdaAuthorizerName"
}

인증 Lambda가 반환한 IAM 역할의 경우 다음과 같은 신뢰 관계 정책이 있어야 합니다.

{
    "Effect": "Allow",
    "Principal": {
        "Service": "medical-imaging.region.amazonaws.com"
    },
    "Action": "sts:AssumeRole"
}

동시성 구성

Lambda 권한 부여자 템플릿

import jwt from 'jsonwebtoken';
import jwksClient from 'jwks-rsa';

const CACHE_TTL = 10 * 60 * 1000;

const client = jwksClient({
  jwksUri: '{Jwks Url}',
  cache: true,
  cacheMaxEntries: 5,
  cacheMaxAge: 600000,
  rateLimit: true,
  jwksRequestsPerMinute: 10
});

export const handler = async (event) => {
  try {
    console.log(event);
    const token = event.bearerToken;
    const decoded = jwt.decode(token, { complete: true });

    if (!decoded || !decoded.header.kid) {
      console.log('Invalid token structure');
      return generatePolicy(null, false);
    }

    const key = await client.getSigningKey(decoded.header.kid);
    const signingKey = key.getPublicKey();

    const payload = jwt.verify(token, signingKey, {
      issuer: '{issuer to be verified}',
      algorithms: ['RS256'],
      // Additional verification parameters as needed
    });

    return generatePolicy(payload.sub, true);
  } catch (error) {
    console.error('Authorization error:', error);
    return generatePolicy(null, false);
  }
};

function generatePolicy(user, isValid) {
  return {
    isTokenValid: isValid,
    roleArn: user ? `arn:aws:iam::123456789012:role/${user}` : ""
  };
}
      

HealthImaging의 최종 검증

AuthResult를 수신한 후 HealthImaging은 다음을 수행합니다.

예외