Amazon API Gateway 如何与 IAM 配合使用 - Amazon API Gateway
API Gateway 基于身份的策略API Gateway 基于资源的策略基于 API Gateway 标签的授权API Gateway IAM 角色
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Amazon API Gateway 如何与 IAM 配合使用

在使用 IAM 管理对 API Gateway 的访问权限之前，您应该了解哪些 IAM 功能可用于 API Gateway。要大致了解 API Gateway 和其他Amazon服务如何与 IAM 一起使用，请参阅 IAM 用户指南中的与 IAM 一起使用的Amazon服务。

API Gateway 基于身份的策略

通过使用 IAM 基于身份的策略，您可以指定允许或拒绝的操作和资源以及允许或拒绝操作的条件。API Gateway 支持特定的操作、资源和条件键。有关 API Gateway 特定的操作、资源和条件键的更多信息，请参阅 Amazon API Gateway Management 的操作、资源和条件键和 Amazon API Gateway Management V2 的操作、资源和条件键。如需在 JSON 策略中使用的所有元素，请参阅 IAM 用户指南中的 IAM JSON 策略元素参考。

以下示例显示了一个基于身份的策略，该策略允许用户仅创建或更新私有 REST API。有关更多示例，请参阅 Amazon API Gateway 基于身份的策略示例。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ScopeToPrivateApis",
      "Effect": "Allow",
      "Action": [
        "apigateway:PATCH",
        "apigateway:POST",
        "apigateway:PUT"
      ],
      "Resource": [
        "arn:aws:apigateway:us-east-1::/restapis",
        "arn:aws:apigateway:us-east-1::/restapis/??????????"
      ],
      "Condition": {
        "ForAllValues:StringEqualsIfExists": {
          "apigateway:Request/EndpointType": "PRIVATE",
          "apigateway:Resource/EndpointType": "PRIVATE"
        }
      }
    },
    {
      "Sid": "AllowResourcePolicyUpdates",
      "Effect": "Allow",
      "Action": [
          "apigateway:UpdateRestApiPolicy"
      ],
      "Resource": [
          "arn:aws:apigateway:us-east-1::/restapis/*"
      ]
    }
  ]
}

操作

JSON 策略的 Action 元素描述可用于在策略中允许或拒绝访问的操作。

API Gateway 中的策略操作在操作前面使用以下前缀：apigateway:。策略语句必须包含 Action 或 NotAction 元素。API Gateway 定义了一组自己的操作，以描述您可以使用该服务执行的任务。

API 管理 Action 表达式的格式为 apigateway:action，其中 action 是以下 API Gateway 操作之一：GET、POST、PUT、DELETE、PATCH（用于更新资源）或 *（即前面的所有操作）。

Action 表达式的一些示例包括：

  • apigateway:*，表示所有 API Gateway 操作。

  • apigateway:GET，仅表示 API Gateway 中的 GET 操作。

要在单个语句中指定多项操作，请使用逗号将它们隔开，如下所示：

"Action": [
      "apigateway:action1",
      "apigateway:action2"

有关用于特定 API Gateway 操作的 HTTP 动词的信息，请参阅 Amazon API Gateway 第 1 版 API 参考 (REST API) 和 Amazon API Gateway 第 2 版 API 参考（WebSocket 和 HTTP API）。

有关更多信息，请参阅Amazon API Gateway 基于身份的策略示例。

资源

管理员可以使用 Amazon JSON 策略来指定谁有权访问什么内容。也就是说，哪个主体 可以对什么资源 执行操作，以及在什么条件 下执行。

Resource JSON 策略元素指定要向其应用操作的一个或多个对象。语句必须包含 Resource 或 NotResource 元素。作为最佳实践，请使用其 Amazon 资源名称（ARN）指定资源。对于支持特定资源类型（称为资源级权限）的操作，您可以执行此操作。

对于不支持资源级权限的操作（如列出操作），请使用通配符 (*) 指示语句应用于所有资源。

"Resource": "*"

API Gateway 资源具有以下 ARN 格式：

arn:aws:apigateway:region::resource-path-specifier

例如，要指定带有 id api-id 及其子资源的 REST API（例如语句中的授权方），请使用以下 ARN：

"Resource": "arn:aws:apigateway:us-east-2::/restapis/api-id/*"

要指定属于特定账户的所有 REST API 和子资源，请使用通配符 (*)：

"Resource": "arn:aws:apigateway:us-east-2::/restapis/*"

有关 API Gateway 资源类型及其 ARN 的列表，请参阅 API Gateway Amazon 资源名称 (ARN) 参考。

条件键

管理员可以使用 Amazon JSON 策略来指定谁有权访问什么内容。也就是说，哪个主体可以对什么资源执行操作，以及在什么条件下执行。

在 Condition 元素（或 Condition 块）中，可以指定语句生效的条件。Condition 元素是可选的。您可以创建使用条件运算符（例如，等于或小于）的条件表达式，以使策略中的条件与请求中的值相匹配。

如果您在一个语句中指定多个 Condition 元素，或在单个 Condition 元素中指定多个键，则 Amazon 使用逻辑 AND 运算评估它们。如果您为单个条件键指定多个值，则 Amazon 使用逻辑 OR 运算来评估条件。在授予语句的权限之前必须满足所有的条件。

在指定条件时，您也可以使用占位符变量。例如，只有在使用 IAM 用户名标记 IAM 用户时，您才能为其授予访问资源的权限。有关更多信息，请参阅《IAM 用户指南》中的 IAM 策略元素：变量和标签。

Amazon支持全局条件键和特定于服务的条件键。要查看所有 Amazon 全局条件键，请参阅《IAM 用户指南》中的 Amazon 全局条件上下文键。

API Gateway 定义了自己的一组条件键，还支持使用一些全局条件键。有关 API Gateway 条件键的列表，请参阅 IAM 用户指南中的 Amazon API Gateway 的条件键。有关您可以将哪些操作和资源与条件键结合使用，请参阅 Amazon API Gateway 定义的操作。

有关标记（包括基于属性的访问控制）的信息，请参阅 为 API Gateway 资源添加标签。

示例

有关 API Gateway 基于身份的策略示例，请参阅 Amazon API Gateway 基于身份的策略示例。

API Gateway 基于资源的策略

基于资源的策略是 JSON 策略文档，它们指定了指定的委托人可在 API Gateway 资源上执行的操作以及在什么条件下可执行。API Gateway 对于 REST API 支持基于资源的权限策略。您可以使用资源策略来控制谁可以调用 REST API。有关更多信息，请参阅使用 API Gateway 资源策略控制对 API 的访问。

示例

有关基于 API Gateway 资源的策略示例，请参阅 API Gateway 资源策略示例。

基于 API Gateway 标签的授权

您可以将标签附加到 API Gateway 资源或将请求中的标签传递给 API Gateway。要基于标签控制访问，您需要使用 apigateway:ResourceTag/key-name、aws:RequestTag/key-name 或 aws:TagKeys 条件键在策略的条件元素中提供标签信息。有关标记 API Gateway 资源的更多信息，请参阅 使用标签控制对 API Gateway REST API 资源的访问。

有关基于身份的策略（用于根据资源上的标签来限制对该资源的访问）的示例，请参阅 使用标签控制对 API Gateway REST API 资源的访问。

API Gateway IAM 角色

IAM 角色是 Amazon 账户中具有特定权限的实体。

将临时凭证用于 API Gateway

您可以使用临时凭证进行联合身份登录，担任 IAM 角色或担任跨账户角色。您可以通过调用 Amazon STS API 操作（如 AssumeRole 或 GetFederationToken）获得临时安全凭证。

API Gateway 支持使用临时凭证。

服务相关角色

服务相关角色允许 Amazon 服务访问其它服务中的资源以代表您完成操作。服务相关角色显示在您的 IAM 账户中，并归该服务所有。IAM 管理员可以查看但不能编辑服务相关角色的权限。

API Gateway 支持服务相关角色。有关创建或管理 API Gateway 服务相关角色的信息，请参阅 使用 API Gateway 的服务相关角色。

服务角色

服务可以代表您代入服务角色。此服务角色允许服务访问其他服务中的资源以代表您完成操作。服务角色显示在您的 IAM 账户中并由该账户拥有，因此管理员可以更改此角色的权限。但是，这样做可能会中断服务的功能。

API Gateway 支持服务角色。