Criar e anexar uma política a um usuário

Para permitir que um usuário chame o serviço de gerenciamento de API ou o serviço de execução de API, é necessário criar uma política do IAM que controle o acesso a entidades do API Gateway.

Para usar o editor de políticas JSON para criar uma política

1. Faça login no AWS Management Console e abra o console do IAM em https://console.aws.amazon.com/iam/.

2. No painel de navegação à esquerda, escolha Políticas.

   Se essa for a primeira vez que escolhe Políticas, a página Bem-vindo às políticas gerenciadas será exibida. Escolha Get Started.

3. Na parte superior da página, escolha Create policy (Criar política).

4. Na seção Editor de políticas, escolha a opção JSON.

5. Insira o seguinte documento de política JSON:

   {
     "Version": "2012-10-17",
     "Statement" : [
       {
         "Effect" : "Allow",
         "Action" : [
           "action-statement"
         ],
         "Resource" : [
           "resource-statement"
         ]
       },
       {
         "Effect" : "Allow",
         "Action" : [
           "action-statement"
         ],
         "Resource" : [
           "resource-statement"
         ]
       }
     ]
   }

6. Escolha Next (Próximo).

   nota

   Você pode alternar entre as opções de editor Visual e JSON a qualquer momento. Porém, se você fizer alterações ou escolher Avançar no editor Visual, o IAM poderá reestruturar a política a fim de otimizá-la para o editor visual. Para obter mais informações, consulte Restruturação de política no Manual do usuário do IAM.

7. Na página Revisar e criar, insira um Nome de política e uma Descrição (opcional) para a política que você está criando. Revise Permissões definidas nessa política para ver as permissões que são concedidas pela política.

8. Escolha Create Policy (Criar política) para salvar sua nova política.

Nesta instrução, substitua action-statement e resource-statement conforme necessário e adicione outras instruções para especificar as entidades do API Gateway que o usuário terá permissão para gerenciar, os métodos de API que o usuário pode chamar ou ambos. Por padrão, o usuário não tem permissões, a menos que haja uma instrução Allow explícita correspondente.

Você acabou de criar uma política do IAM. Não terá nenhum efeito até você anexá-lo.

Para fornecer o acesso, adicione as permissões aos seus usuários, grupos ou perfis:

• Usuários e grupos no AWS IAM Identity Center:

  Crie um conjunto de permissões. Siga as instruções em Create a permission set (Criação de um conjunto de permissões) no Guia do usuário do AWS IAM Identity Center.

• Usuários gerenciados no IAM usando um provedor de identidades:

  Crie um perfil para a federação de identidades. Siga as instruções em Criar um perfil para um provedor de identidades de terceiros (federação) no Guia do usuário do IAM.

• Usuários do IAM:

  • Crie um perfil que seu usuário possa assumir. Siga as instruções em Creating a role for an IAM user (Criação de um perfil para um usuário do IAM) no Guia do usuário do IAM.

  • (Não recomendado) Vincule uma política diretamente a um usuário ou adicione um usuário a um grupo de usuários. Siga as instruções em Adição de permissões a um usuário (console) no Guia do usuário do IAM.

Como anexar um documento de política do IAM a um grupo do IAM

1. No painel de navegação principal, escolha Grupos.

2. Escolha a guia Permissões no grupo escolhido.

3. Escolha Anexar política.

4. Escolha o documento de política que você criou anteriormente e depois selecione Anexar política.

Para que o API Gateway chame outros serviços da AWS em seu nome, crie uma função do IAM do tipo Amazon API Gateway.

Como criar um tipo de função do Amazon API Gateway

1. No painel de navegação principal, escolha Funções.

2. Escolha Criar nova função.

3. Digite um nome para Nome da função e escolha Próxima etapa.

4. Em Selecionar tipo de função, em Funções de serviço da AWS, escolha Selecionar ao lado de Amazon API Gateway.

5. Escolha uma política gerenciada disponível de permissões do IAM, por exemplo, AmazonAPIGatewayPushToCloudWatchLog se você deseja que o API Gateway registre métricas no CloudWatch, em Anexar política e depois escolha Próxima etapa.

6. Em Entidades confiáveis, verifique se apigateway.amazonaws.com está listado como uma entrada e escolha Criar função.

7. Na função recém-criada, selecione a guia Permissões e escolha Anexar política.

8. Escolha o documento de política personalizada do IAM criada anteriormente e depois selecione Anexar política.