Matcha anroparen med dörren

Du är plattformsingenjör för ett API med fyra anropare, och ett beslut väntar på dig: behåll API:et på REST, eller flytta det till HTTP. Ingen har skrivit ner vilken anropare som är beroende av vad.

Vad varje anropare visar upp vid dörren:

• Webbappsanvändaren, som bär på en Cognito-token.
• Partnerappen, som bär på en ogenomskinlig sessionsnyckel som din egen kod måste tolka.
• Analysbatchjobbet, som inte visar upp någon token alls, utan släpps in idag tack vare kontot det anropar från.
• Lagertjänsten, som signerar sina anrop med AWS-autentiseringsuppgifter.

Ett REST-API erbjuder IAM-autentisering, en Cognito-auktoriserare, en Lambda-auktoriserare och en resurspolicy. Ett HTTP-API erbjuder IAM-autentisering, en JWT-auktoriserare och en Lambda-auktoriserare, och saknar helt resurspolicyer.

Vilken av dessa anropare kan betjänas av ett REST-API men inte av ett HTTP-API?