Reglas de autorización personalizadas

Una empresa expone APIs a clientes externos. La autenticación se realiza mediante un proveedor de identidad de terceros que emite tokens JWT. La organización también requiere reglas de autorización personalizadas más allá de la validación estándar de claims. La API recibe mucho tráfico y debe minimizar la latencia y los costes de Lambda.

¿Qué enfoque satisface MEJOR estos requisitos?