Amazon API Gateway 如何与 IAM 配合使用
在使用 IAM 管理对 API Gateway 的访问权限之前,您应该了解哪些 IAM 功能可用于 API Gateway。要大致了解 API Gateway 和其他AWS服务如何与 IAM 一起使用,请参阅 IAM 用户指南中的与 IAM 一起使用的AWS服务。
API Gateway 基于身份的策略
通过使用 IAM 基于身份的策略,您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。API Gateway 支持特定的操作、资源和条件键。有关 API Gateway 特定的操作、资源和条件键的更多信息,请参阅 Amazon API Gateway Management 的操作、资源和条件键和 Amazon API Gateway Management V2 的操作、资源和条件键。如需在 JSON 策略中使用的所有元素,请参阅 IAM 用户指南中的 IAM JSON 策略元素参考。
以下示例显示了一个基于身份的策略,该策略允许用户仅创建或更新私有 REST API。有关更多示例,请参阅 Amazon API Gateway 基于身份的策略示例。
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ScopeToPrivateApis", "Effect": "Allow", "Action": [ "apigateway:PATCH", "apigateway:POST", "apigateway:PUT" ], "Resource": [ "arn:aws:apigateway:us-east-1::/restapis", "arn:aws:apigateway:us-east-1::/restapis/??????????" ], "Condition": { "ForAllValues:StringEqualsIfExists": { "apigateway:Request/EndpointType": "PRIVATE", "apigateway:Resource/EndpointType": "PRIVATE" } } }, { "Sid": "AllowResourcePolicyUpdates", "Effect": "Allow", "Action": [ "apigateway:UpdateRestApiPolicy" ], "Resource": [ "arn:aws:apigateway:us-east-1::/restapis/*" ] } ] }
操作
JSON 策略的 Action
元素描述可用于在策略中允许或拒绝访问的操作。
API Gateway 中的策略操作在操作前面使用以下前缀:apigateway:
。策略语句必须包含 Action
或 NotAction
元素。API Gateway 定义了一组自己的操作,以描述您可以使用该服务执行的任务。
API 管理 Action
表达式的格式为 apigateway:
,其中 action
action
是以下 API Gateway 操作之一:GET、POST、PUT、DELETE、PATCH(用于更新资源)或 *(即前面的所有操作)。
Action
表达式的一些示例包括:
-
apigateway:*
,表示所有 API Gateway 操作。 -
apigateway:GET
,仅表示 API Gateway 中的 GET 操作。
要在单个语句中指定多项操作,请使用逗号将它们隔开,如下所示:
"Action": [ "apigateway:action1", "apigateway:action2"
有关用于特定 API Gateway 操作的 HTTP 动词的信息,请参阅 Amazon API Gateway 第 1 版 API 参考 (REST API) 和 Amazon API Gateway 第 2 版 API 参考(WebSocket 和 HTTP API)。
有关更多信息,请参阅 Amazon API Gateway 基于身份的策略示例。
资源
管理员可以使用 AWS JSON 策略来指定谁有权访问什么内容。也就是说,哪个主体 可以对什么资源执行操作,以及在什么条件下执行。
Resource
JSON 策略元素指定要向其应用操作的一个或多个对象。语句必须包含 Resource
或 NotResource
元素。作为最佳实践,请使用其 Amazon 资源名称 (ARN) 指定资源。对于支持特定资源类型(称为资源级权限)的操作,您可以执行此操作。
对于不支持资源级权限的操作(如列出操作),请使用通配符 (*) 指示语句应用于所有资源。
"Resource": "*"
API Gateway 资源具有以下 ARN 格式:
arn:aws:apigateway:
region
::resource-path-specifier
例如,要指定带有 id
及其子资源的 REST API(例如语句中的授权方),请使用以下 ARN:api-id
"Resource": "arn:aws:apigateway:us-east-2::/restapis/api-id/*"
要指定属于特定账户的所有 REST API 和子资源,请使用通配符 (*):
"Resource": "arn:aws:apigateway:us-east-2::/restapis/*"
有关 API Gateway 资源类型及其 ARN 的列表,请参阅 API Gateway Amazon 资源名称 (ARN) 参考。
条件键
管理员可以使用 AWS JSON 策略来指定谁有权访问什么内容。也就是说,哪个主体可以对什么资源执行操作,以及在什么条件下执行。
在 Condition
元素(或 Condition
块)中,可以指定语句生效的条件。Condition
元素是可选的。您可以创建使用条件运算符(例如,等于或小于)的条件表达式,以使策略中的条件与请求中的值相匹配。
如果您在一个语句中指定多个 Condition
元素,或在单个 Condition
元素中指定多个键,则 AWS 使用逻辑 AND
运算评估它们。如果您为单个条件键指定多个值,则 AWS 使用逻辑 OR
运算来评估条件。在授予语句的权限之前必须满足所有的条件。
在指定条件时,您也可以使用占位符变量。例如,只有在使用 IAM 用户名标记 IAM 用户时,您才能为其授予访问资源的权限。有关更多信息,请参阅《IAM 用户指南》中的 IAM 策略元素:变量和标签。
AWS 支持全局条件键和特定于服务的条件键。要查看所有 AWS 全局条件键,请参阅《IAM 用户指南》中的 AWS 全局条件上下文键。
API Gateway 定义了自己的一组条件键,还支持使用一些全局条件键。有关 API Gateway 条件键的列表,请参阅 IAM 用户指南中的 Amazon API Gateway 的条件键。有关您可以将哪些操作和资源与条件键结合使用,请参阅 Amazon API Gateway 定义的操作。
有关标记(包括基于属性的访问控制)的信息,请参阅 为 API Gateway 资源添加标签。
示例
有关 API Gateway 基于身份的策略示例,请参阅 Amazon API Gateway 基于身份的策略示例。
API Gateway 基于资源的策略
基于资源的策略是 JSON 策略文档,它们指定了指定的委托人可在 API Gateway 资源上执行的操作以及在什么条件下可执行。API Gateway 对于 REST API 支持基于资源的权限策略。您可以使用资源策略来控制谁可以调用 REST API。有关更多信息,请参阅 使用 API Gateway 资源策略控制对 API 的访问。
示例
有关基于 API Gateway 资源的策略示例,请参阅 API Gateway 资源策略示例。
基于 API Gateway 标签的授权
您可以将标签附加到 API Gateway 资源或将请求中的标签传递给 API Gateway。要基于标签控制访问,您需要使用 apigateway:ResourceTag/
、key-name
aws:RequestTag/
或 key-name
aws:TagKeys
条件键在策略的条件元素中提供标签信息。有关标记 API Gateway 资源的更多信息,请参阅 使用标签控制对 API Gateway REST API 资源的访问。
有关基于身份的策略(用于根据资源上的标签来限制对该资源的访问)的示例,请参阅 使用标签控制对 API Gateway REST API 资源的访问。
API Gateway IAM 角色
IAM 角色是 AWS 账户中具有特定权限的实体。
将临时凭证用于 API Gateway
您可以使用临时凭证进行联合身份登录,担任 IAM 角色或担任跨账户角色。您可以通过调用 AWS STS API 操作(如 AssumeRole 或 GetFederationToken)获得临时安全凭证。
API Gateway 支持使用临时凭证。
服务相关角色
服务相关角色允许 AWS 服务访问其他服务中的资源以代表您完成操作。服务相关角色显示在 IAM 账户中,并归该服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。
API Gateway 支持服务相关角色。有关创建或管理 API Gateway 服务相关角色的信息,请参阅 使用 API Gateway 的服务相关角色。
服务角色
服务可以代表您代入服务角色。此服务角色允许服务访问其他服务中的资源以代表您完成操作。服务角色显示在您的 IAM 账户中并由该账户拥有,因此管理员可以更改此角色的权限。但是,这样做可能会中断服务的功能。
API Gateway 支持服务角色。