要使用AWS SAM和Cognito进行访问控制，您需要执行以下步骤：

1. 配置Cognito用户池：首先，您需要在AWS Cognito中创建一个用户池，它将用于身份验证和授权访问。在用户池中，您可以定义用户属性、密码策略等。

2. 创建API Gateway：使用AWS SAM模板创建一个API Gateway。您可以定义API的路径、方法、集成等。确保API Gateway与您的Lambda函数集成。

3. 定义Cognito授权：在您的API Gateway中，定义Cognito用户池作为授权提供程序，以确保只有经过身份验证的用户才能访问您的API。

下面是一个使用AWS SAM模板的示例，其中包括Cognito用户池和API Gateway的配置。

Resources:
  MyCognitoUserPool:
    Type: AWS::Cognito::UserPool
    Properties:
      UserPoolName: MyUserPool
      Policies:
        PasswordPolicy:
          MinimumLength: 8
          RequireLowercase: True
          RequireNumbers: True
          RequireSymbols: False
          RequireUppercase: True
          TemporaryPasswordValidityDays: 7
      Schema:
        - Name: email
          Required: True
          Mutable: False
        - Name: firstName
          Required: True
          Mutable: True
        - Name: lastName
          Required: True
          Mutable: True
      UsernameAttributes:
        - email

  MyCognitoUserPoolClient:
    Type: AWS::Cognito::UserPoolClient
    Properties:
      ClientName: MyUserPoolClient
      UserPoolId: !Ref MyCognitoUserPool
      GenerateSecret: False

  MyApiGateway:
    Type: AWS::Serverless::Api
    Properties:
      StageName: prod
      Auth:
        DefaultAuthorizer: MyCognitoAuthorizer
        Authorizers:
          MyCognitoAuthorizer:
            UserPoolArn: !GetAtt MyCognitoUserPool.Arn
            Identity:
              Header: Authorization
              ValidationExpression: "Bearer (.*)"
            ResultTtlInSeconds: 300
            Type: COGNITO_USER_POOLS

在上面的示例中，我们定义了一个名为MyUserPool的Cognito用户池，以及一个名为MyUserPoolClient的用户池客户端。然后，我们创建了一个API Gateway，并将Cognito用户池作为授权提供程序。

要在Lambda函数中验证Cognito用户的访问权限，您可以在函数代码中添加以下代码：

import json

def lambda_handler(event, context):
    # 验证Cognito用户的访问权限
    if 'requestContext' in event and 'authorizer' in event['requestContext']:
        # 获取Cognito用户的信息
        cognito_user = event['requestContext']['authorizer']['claims']
        print('Cognito用户信息:', cognito_user)
    else:
        # 用户未经过身份验证
        return {
            'statusCode': 401,
            'body': json.dumps({'error': '未经过身份验证'})
        }

在上面的代码中，我们检查requestContext中是否存在authorizer字段，并获取Cognito用户的信息。如果用户未经过身份验证，则返回401错误。

这是一个基本的示例，您可以根据您的需求进行自定义。希望这可以帮助您开始使用AWS SAM和Cognito进行访问控制。