認可ルールをカスタマイズする

type Todo @model @auth(rules: [{ allow: owner }]) {
  content: String
}

type Todo
  @model
  @auth(rules: [{ allow: public, operations: [read] }, { allow: owner }]) {
  content: String
}

type Todo @model @auth(rules: [{ allow: public }]) {
  content: String
}

# Todoの「オーナー」は、自分のtodoを作成、読取、更新、および削除できます
type Todo @model @auth(rules: [{ allow: owner }]) {
  content: String
}

# Todoレコードの「オーナー」は、それを作成、読取、更新することのみが許可されます。
# Todoレコードの「オーナー」は削除することが拒否されます。
type Todo
  @model
  @auth(rules: [{ allow: owner, operations: [create, read, update] }]) {
  content: String
}

type Todo @model @auth(rules: [{ allow: owner, ownerField: "author" }]) {
  content: String #^^^^^^^^^^^^^^^^^^^^
  author: String # レコードオーナー情報が「author」フィールドに保存されます
}

type Todo @model @auth(rules: [{ allow: owner, ownerField: "authors" }]) {
  content: String
  authors: [String]
}

type Todo @model @auth(rules: [{ allow: private }]) {
  content: String
}

type Todo @model @auth(rules: [{ allow: owner }]) {
  id: ID!
  name: String!
  task: [Task] @hasMany
}

type Task
  @model
  @auth(rules: [{ allow: owner }, { allow: private, operations: [read] }]) {
  id: ID!
  description: String!
}

type Salary @model @auth(rules: [{ allow: groups, groups: ["Admin"] }]) {
  id: ID!
  wage: Int
  currency: String
}

# 複数グループでの動的グループ認可
type Post @model @auth(rules: [{ allow: groups, groupsField: "groups" }]) {
  id: ID!
  title: String
  groups: [String]
}

# 単一グループでの動的グループ認可
type Post @model @auth(rules: [{ allow: groups, groupsField: "group" }]) {
  id: ID!
  title: String
  group: String
}

type Salary @model @auth(rules: [{ allow: custom }]) {
  id: ID!
  wage: Int
  currency: String
}

{
    "authorizationToken": "ExampleAuthToken123123123", # クライアントによって指定される認可トークン
    "requestContext": {
        "apiId": "aaaaaa123123123example123", # AppSync API ID
        "accountId": "111122223333", # AWS Account ID
        "requestId": "f4081827-1111-4444-5555-5cf4695f339f",
        "queryString": "mutation CreateEvent {...}\n\nquery MyQuery {...}\n", # GraphQLクエリ
        "operationName": "MyQuery", # GraphQLオペレーション名
        "variables": {} # オペレーションに提供される追加の変数
    }
}

{
  // 必須
  "isAuthorized": true, // 「false」の場合、UnauthorizedExceptionが発生し、アクセスが拒否されます
  "resolverContext": { "banana": "very yellow" }, // VTLリゾルバーテンプレートで$ctx.identity.resolverContextとして表示されるJSONオブジェクト

  // オプション
  "deniedFields": ["TypeName.FieldName"], // フィールドをクライアントに返すときに「null」に強制します
  "ttlOverride": 10 // レスポンスをキャッシュすべき秒数。「amplify update api」で指定されたデフォルトをオーバーライドします
}

type Post
  @model
  @auth(
    rules: [
      { allow: public, operations: [read], provider: iam }
      { allow: owner }
    ]
  ) {
  title: String
  content: String
}

import { createPost } from './graphql/mutations';
import { listPosts } from './graphql/queries';

// ポストの作成はCognito User Poolsに制限されています
const newPostResult = await client.graphql({
  query: queries.createPost,
  variables: { input: { title: 'Hello World' } },
  authMode: 'userPool'
});

// ポストのリスト化は（IAMで検証された）すべてのユーザーが利用できます
const listPostsResult = await client.graphql({
  query: queries.listPosts,
  authMode: 'iam'
});

type Employee
  @model
  @auth(rules: [{ allow: private, operations: [read] }, { allow: owner }]) {
  name: String
  email: String
  ssn: String @auth(rules: [{ allow: owner }])
}

amplify status api -acm Blog

iam:public
  ┌─────────┬────────┬──────┬────────┬────────┐
  │ (index) │ create │ read │ update │ delete │
  ├─────────┼────────┼──────┼────────┼────────┤
  │  title  │ false  │ true │ false  │ false  │
  │ content │ false  │ true │ false  │ false  │
  └─────────┴────────┴──────┴────────┴────────┘
userPools:owner:owner
  ┌─────────┬────────┬──────┬────────┬────────┐
  │ (index) │ create │ read │ update │ delete │
  ├─────────┼────────┼──────┼────────┼────────┤
  │  title  │  true  │ true │  true  │  true  │
  │ content │  true  │ true │  true  │  true  │
  └─────────┴────────┴──────┴────────┴────────┘

type Todo
  @model
  @auth(
    rules: [
      { allow: owner, provider: oidc, identityClaim: "user_id" }
      { allow: private, provider: oidc }
      { allow: group, provider: oidc, groupClaim: "user_groups" }
    ]
  ) {
  content: String
}

type Post
  @model
  @auth(
    rules: [
      { allow: owner, identityClaim: "user_id" }
      { allow: groups, groups: ["Moderator"], groupClaim: "user_groups" }
    ]
  ) {
  id: ID!
  owner: String
  postname: String
  content: String
}

type Post
  @model
  @auth(
    rules: [
      { allow: owner }
    ]
  ) {
  id: ID!
  title: String!
  content: String
  tags: [Tag] @manyToMany(relationName: "PostTags")
}

type Tag
  @model
  @auth(
    rules: [
      { allow: groups, groups: ["admins"] }
    ]
  ) {
  id: ID!
  label: String!
  posts: [Post] @manyToMany(relationName: "PostTags")
}

### 舞台裏で作成
type PostTags
  @model
  @auth(
    rules: [
      { allow: owner }
      { allow: groups, groups: ["admins"] }
    ]
  ) {
  id: ID!
  postId: ID!
  tagId: ID!
  post: Post!
  tag: Tag!
  owner: String
}

# タイプに適用される場合、アプリケーションを拡張します
# オーナーおよびグループベースの認可ルール。
directive @auth(rules: [AuthRule!]!) on OBJECT | FIELD_DEFINITION
input AuthRule {
  allow: AuthStrategy!
  provider: AuthProvider
  ownerField: String # デフォルトはオーナー認可を使用する場合「owner」
  identityClaim: String # デフォルトはオーナー認可を使用する場合「sub::username」
  groupClaim: String # デフォルトはグループ認可を使用する場合「cognito:groups」
  groups: [String] # 静的グループ認可を使用する場合は必須
  groupsField: String # デフォルトは動的グループ認可を使用する場合「groups」
  operations: [ModelOperation] # より細かい制御が必要な場合は必須
}

enum AuthStrategy {
  owner
  groups
  private
  public
  custom
}
enum AuthProvider {
  apiKey
  iam
  oidc
  userPools
  function
}
enum ModelOperation {
  create
  update
  delete
  read # 「get」、「list」、「sync」、「listen」、および「search」を許可するための短縮形
  get # 個別の項目を取得します
  list # 項目のリストを取得します
  sync # オフライン/オンライン変更を同期できるようにします（DataStore経由を含む）
  listen # リアルタイム変更にサブスクライブします
  search # @searchableディレクティブを使用した検索を有効にします
}