Regras de autorização personalizadas

Uma empresa expõe APIs para clientes externos. A autenticação é realizada por um provedor de identidade de terceiros que emite tokens JWT. A organização também requer regras de autorização personalizadas além da validação padrão de claims. A API recebe tráfego intenso e precisa minimizar a latência e os custos do Lambda.

Qual abordagem atende MELHOR a esses requisitos?