Amazon web services AWS上RBAC的自定义应用程序特定权限

AmazonCognito提供了基于角色的访问控制（RBAC）功能，允许管理员允许或拒绝用户访问各种AWS资源。然而，假设我有一个在AWS Lambda上运行的无服务器webapp，并使用Cognoto进行用户管理。我的应用程序有自己的一套特定于应用程序的操作（例如添加小部件、删除袋熊、更新foo）。我的数据库对象彼此之间有关系（例如每个袋熊都拥有多个foo）。我想拥有记录级权限（例如，如果该用户拥有该foo所属的袋熊，则该用户只能删除该foo）。这些是特定于应用程序的权限。将这些特定于应用程序的权限（作为webapp的开发人员，我很容易理解）映射到底层的AWS服务，这将是一个巨大的痛苦。此外，如果我想切换到其他AWS服务或切换到其他云服务提供商，我必须完全重做我的所有权限。最好是让app admin/designer（例如我）创建我的app特定的语义上有意义的权限集，并提供一个我可以查询的服务，以查看给定用户是否具有对该对象请求的操作的给定权限。AWS是否提供此类服务，或者我是否必须维护自己的特定于应用程序的权限/角色数据库表，并使用自己的功能来提供此服务

有什么建议吗？我使用python作为后端语言，在AmazonRDS上使用MYSQL作为DB