Сопоставьте вызывающую сторону с дверью

Вы — платформенный инженер, отвечающий за API с четырьмя вызывающими сторонами, и вам нужно принять решение: оставить этот API на REST или перевести его на HTTP. Никто не зафиксировал, что именно требуется каждой из сторон.

Что предъявляет на входе каждая вызывающая сторона:

• Пользователь веб-приложения — с токеном Cognito.
• Партнёрское приложение — с непрозрачным ключом сессии, который должен расшифровывать ваш собственный код.
• Пакетное задание аналитики — вообще без токена, допускается сегодня только по аккаунту, из которого обращается.
• Служба учёта запасов — подписывает запросы учётными данными AWS.

REST API предлагает IAM-аутентификацию, авторизатор Cognito, Lambda-авторизатор и политику ресурсов. HTTP API предлагает IAM-аутентификацию, JWT-авторизатор и Lambda-авторизатор, но полностью лишён политик ресурсов.

Какую из этих вызывающих сторон можно обслужить через REST API, но нельзя через HTTP API?