DynamoDB用户管理用户组

您的场景无法通过IAM策略(附加到用户或角色)和与用户池连接的DynamoDB细粒度访问控制直接实现。

DynamoDB在其最佳访问控制级别允许通过前导键进行行级访问控制。例如,在您的案例中,如果Messages表中消息项的hashkey是Cognito中登录用户的属性,则可以仅为具有IAM策略的用户授予权限。

然而,可以实现这一点的方法是在应用程序级别。例如,您可以设置API网关和Lambda,以便在API网关上验证Cognito发出的id_令牌,并且在Lambda代码中,您可以编写一个查询,根据您的访问控制列表限制和检索数据。