Niestandardowe reguły autoryzacji

Firma udostępnia API zewnętrznym klientom. Uwierzytelnianie odbywa się za pośrednictwem zewnętrznego dostawcy tożsamości, który wydaje tokeny JWT. Organizacja wymaga również niestandardowych reguł autoryzacji wykraczających poza standardową walidację claims. API obsługuje duży ruch i musi minimalizować opóźnienia oraz koszty Lambdy.

Które podejście NAJLEPIEJ spełnia te wymagania?