Zugriffskontrolle für die AWS Marketplace Discovery-API

Die Discovery-API verwendet AWS Identity and Access Management (IAM) für die Authentifizierung und Autorisierung. Jeder AWS Kunde kann die Discovery-API aufrufen, indem er die entsprechenden IAM-Berechtigungen konfiguriert.

Benutzer müssen über die folgenden Berechtigungen verfügen, um Discovery-API-Operationen aufrufen zu können:

• GetListing— Erteilt die Erlaubnis, Informationen über ein Inserat abzurufen.

• GetProduct— Erteilt die Erlaubnis, Informationen über ein Produkt abzurufen.

• GetOffer— Erteilt die Erlaubnis, Informationen über ein Angebot abzurufen.

• GetOfferTerms— Erteilt die Erlaubnis, Bedingungen für ein Angebot abzurufen.

• GetOfferSet— Erteilt die Erlaubnis, Informationen zu einem Angebotssatz abzurufen.

• ListPurchaseOptions— Erteilt die Erlaubnis, dem Käufer verfügbare Kaufoptionen aufzulisten.

• ListFulfillmentOptions— Erteilt die Erlaubnis, Versandoptionen für ein Produkt aufzulisten.

• SearchListings— Erteilt die Erlaubnis, nach Produktangeboten zu suchen.

• SearchFacets— Erteilt die Erlaubnis, Facettenwerte zum Filtern von Angeboten abzurufen.

IAM-Berechtigungen

Um Discovery-API-Operationen aufrufen zu können, muss der IAM-Prinzipal (Benutzer oder Rolle) über die entsprechenden aws-marketplace Berechtigungen verfügen. Die Discovery-API unterstützt Berechtigungen auf Ressourcenebene, sodass Sie den Zugriff auf bestimmte Ressourcentypen in Ihren IAM-Richtlinien einschränken können.

Die folgende IAM-Richtlinie gewährt Zugriff auf alle Discovery-API-Operationen mit Geltungsbereich auf Ressourcenebene:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "aws-marketplace:GetListing",
                "aws-marketplace:GetProduct",
                "aws-marketplace:GetOffer",
                "aws-marketplace:GetOfferTerms",
                "aws-marketplace:GetOfferSet",
                "aws-marketplace:ListPurchaseOptions",
                "aws-marketplace:ListFulfillmentOptions",
                "aws-marketplace:SearchFacets",
                "aws-marketplace:SearchListings"
            ],
            "Resource": [
                "arn:aws:aws-marketplace:::catalog/<catalog-name>/product/*",
                "arn:aws:aws-marketplace:::catalog/<catalog-name>/listing/*",
                "arn:aws:aws-marketplace:::catalog/<catalog-name>/offer/*",
                "arn:aws:aws-marketplace:::catalog/<catalog-name>/offerSet/*",
                "arn:aws:aws-marketplace:::catalog/<catalog-name>/purchaseOption/*"
            ]
        }
    ]
}

Ersetzen Sie es <catalog-name> durch die entsprechende Katalog-ID (z. B.). AWSMarketplace

ARN-Formate für Ressourcen

Die folgende Tabelle zeigt die Ressourcentypen und ihre ARN-Formate, die von Discovery-API-Vorgängen verwendet werden:

Ressourcentyp	ARN-Format	Verwendet von
Produkt	arn:aws:aws-marketplace:::catalog/catalog-name/product/product-id	GetProduct, ListFulfillmentOptions
Auflistung	arn:aws:aws-marketplace:::catalog/catalog-name/listing/listing-id	GetListing, SearchListings, SearchFacets
Angebot	arn:aws:aws-marketplace:::catalog/catalog-name/offer/offer-id	GetOffer, GetOfferTerms
Angebots-Set	arn:aws:aws-marketplace:::catalog/catalog-name/offerSet/offerSet-id	GetOfferSet
Kaufoption	arn:aws:aws-marketplace:::catalog/catalog-name/purchaseOption/purchaseOption-id	ListPurchaseOptions

Ausrichtung der Operationen auf bestimmte Ressourcen

Für Get-Operationen (GetListing, GetProduct, GetOffer, GetOfferTerms, GetOfferSet) und den ListFulfillmentOptions Vorgang können Sie den Zugriff auf bestimmte Ressourcen-IDs einschränken, anstatt einen Platzhalter zu verwenden. Um beispielsweise den Zugriff auf eine einzelne Liste einzuschränken:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "aws-marketplace:GetListing",
            "Resource": "arn:aws:aws-marketplace:::catalog/AWSMarketplace/listing/listing-id"
        }
    ]
}

Dieses Muster funktioniert für alle Get-Operationen und ListFulfillmentOptions. Ersetzen Sie den Ressourcentyp und die ID entsprechend:

• arn:aws:aws-marketplace:::catalog/catalog-name/product/product-id

• arn:aws:aws-marketplace:::catalog/catalog-name/listing/listing-id

• arn:aws:aws-marketplace:::catalog/catalog-name/offer/offer-id

• arn:aws:aws-marketplace:::catalog/catalog-name/offerSet/offerSet-id

Die ListPurchaseOptions Operationen SearchListings SearchFacets, und unterstützen nicht die Festlegung des Gültigkeitsbereichs auf eine einzelne Ressource, da sie sich auf mehrere Elemente beziehen. Verwenden Sie für diese Operationen die folgenden Platzhalter-ARN-Muster:

• Für SearchListings und SearchFacets: arn:aws:aws-marketplace:::catalog/catalog-name/listing/*

• Für ListPurchaseOptions: arn:aws:aws-marketplace:::catalog/catalog-name/purchaseOption/*

Service-linked Rollen

Die Discovery-API verwendet keine dienstbezogenen Rollen. Der gesamte Zugriff wird durch Standard-IAM-Richtlinien gesteuert.

Cross-account Zugriff

Mithilfe von IAM-Rollen können Sie kontoübergreifenden Zugriff auf die Discovery-API gewähren. Erstellen Sie eine Rolle im Zielkonto mit den entsprechenden Discovery-API-Berechtigungen und übernehmen Sie dann die Rolle aus dem Quellkonto.