Faites correspondre l'appelant à la bonne porte

Vous êtes l'ingénieur·e plateforme d'une API appelée par quatre clients, et une décision vous attend : conserver cette API en REST ou la migrer vers HTTP. Personne n'a noté de quoi dépend chaque appelant.

Ce que chaque appelant présente à l'entrée :

• L'utilisateur de l'application web, muni d'un jeton Cognito.
• L'application partenaire, munie d'une clé de session opaque que votre propre code doit résoudre.
• Le job batch d'analytics, ne présentant aucun jeton, admis aujourd'hui en fonction du compte depuis lequel il appelle.
• Le service d'inventaire, signant ses requêtes avec des identifiants AWS.

Une API REST propose l'authentification IAM, un authorizer Cognito, un authorizer Lambda et une stratégie de ressource. Une API HTTP propose l'authentification IAM, un authorizer JWT et un authorizer Lambda, et n'a pas de stratégies de ressource.

Lequel de ces appelants peut être servi par une API REST mais pas par une API HTTP ?