Règles d'autorisation personnalisées

Une entreprise expose des API à des clients externes. L'authentification est assurée par un fournisseur d'identité tiers qui émet des jetons JWT. L'organisation exige également des règles d'autorisation personnalisées, au-delà de la simple validation des revendications standard. L'API reçoit un trafic important et doit minimiser la latence et les coûts liés à Lambda.

Quelle approche répond LE MIEUX à ces exigences ?