建立政策並連接到使用者

若要讓使用者呼叫 API 管理服務或 API 執行服務，您必須建立 IAM 政策，以控制對 API Gateway 實體的存取。

若要使用 JSON 政策編輯器來建立政策

1. 登入 AWS Management Console ，並在 https：//https://console.aws.amazon.com/iam/ 開啟 IAM 主控台。

2. 在左側的導覽窗格中，選擇 Policies (政策)。

   如果這是您第一次選擇 Policies (政策)，將會顯示 Welcome to Managed Policies (歡迎使用受管政策) 頁面。選擇 Get Started (開始使用)。

3. 在頁面頂端，選擇 Create policy (建立政策)。

4. 在政策編輯器中，選擇 JSON 選項。

5. 輸入下列 JSON 政策文件：

   {
     "Version": "2012-10-17",
     "Statement" : [
       {
         "Effect" : "Allow",
         "Action" : [
           "action-statement"
         ],
         "Resource" : [
           "resource-statement"
         ]
       },
       {
         "Effect" : "Allow",
         "Action" : [
           "action-statement"
         ],
         "Resource" : [
           "resource-statement"
         ]
       }
     ]
   }

6. 選擇 Next (下一步)。

   注意

   您可以隨時切換視覺化與 JSON 編輯器選項。不過，如果您進行變更或在視覺化編輯器中選擇下一步，IAM 就可能會調整您的政策結構，以便針對視覺化編輯器進行最佳化。如需詳細資訊，請參閱 IAM 使用者指南中的調整政策結構。

7. 在檢視與建立頁面上，為您正在建立的政策輸入政策名稱與描述 (選用)。檢視此政策中定義的許可，來查看您的政策所授予的許可。

8. 選擇 Create policy (建立政策) 儲存您的新政策。

在此陳述式中，視需要替代 action-statement 與 resource-statement，並新增其他陳述式，以指定要讓使用者管理的 API Gateway 實體、使用者可呼叫的 API 方法，或指定兩者。根據預設，除非有明確對應的 陳述式，否則 Allow 使用者沒有許可。

您剛建立 IAM 政策。在您將其連接之前，它不會有任何效果。

若要提供存取權，請新增權限至您的使用者、群組或角色：

• 中的使用者和群組 AWS IAM Identity Center：

  建立權限合集。請按照 AWS IAM Identity Center 使用者指南 中的 建立權限合集 說明進行操作。

• 透過身分提供者在 IAM 中管理的使用者：

  建立聯合身分的角色。遵循「IAM 使用者指南」的為第三方身分提供者 (聯合) 建立角色中的指示。

• IAM 使用者：

  • 建立您的使用者可擔任的角色。請按照「IAM 使用者指南」的為 IAM 使用者建立角色中的指示。

  • (不建議) 將政策直接附加至使用者，或將使用者新增至使用者群組。請遵循 IAM 使用者指南的新增許可到使用者 (主控台) 中的指示。

將 IAM 政策文件連接到 IAM 群組

1. 從主要導覽窗格中，選擇 Groups (群組)。

2. 在所選擇的群組下，選擇 Permissions (許可) 標籤。

3. 選擇 Attach policy (連接政策)。

4. 選擇您之前建立的政策文件，然後選擇 Attach policy (連接政策)。

若要讓 API Gateway 代表您呼叫其他 AWS 服務，請建立 Amazon API Gateway 類型的 IAM 角色。

建立 Amazon API Gateway 角色類型

1. 從主要導覽窗格中，選擇 Roles (角色)。

2. 選擇 Create New Role (建立新角色)。

3. 針對 Role name (角色名稱) 輸入名稱，然後選擇 Next Step (下一步)。

4. 在 Select Role Type (選取角色類型) 下的 AWS Service Roles (服務角色) 中，選擇 Amazon API Gateway 旁的 Select (選取)。

5. 在 Attach Policy (連接政策) 下，選擇可用的受管 IAM 許可政策 (例如，如果您想要讓 API Gateway 在 CloudWatch 中記錄指標，請選擇 AmazonAPIGatewayPushToCloudWatchLog)，然後選擇 Next Step (下一步)。

6. 在 Trusted Entities (信任的實體) 下，確認 apigateway.amazonaws.com 列為項目，然後選擇 Create Role (建立角色)。

7. 在新建立的角色中，選擇 Permissions (許可) 標籤，然後選擇 Attach Policy (連接政策)。

8. 選擇之前建立的自訂 IAM 政策文件，然後選擇 Attach Policy (連接政策)。