ResourcePolicyStatement - Amazon Serverless Application Model
SyntaxPropertiesExamples
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

ResourcePolicyStatement

为 API 的所有方法和路径配置资源策略。有关资源策略的更多信息，请参阅使用 API Gateway 资源策略控制对 API 的访问中的API Gateway 开发人员指南.

Syntax

要在您的Amazon Serverless Application Model(Amazon SAM) 模板，请使用以下语法。

Properties

AwsAccountBlacklist

这些区域有：Amazon要阻止的账户。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

AwsAccountWhitelist

这些区域有：Amazon允许的账户。有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

CustomStatements

要应用于此 API 的自定义资源策略声明的列表。有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

IntrinsicVpcBlacklist

要阻止的虚拟私有云 (VPC) 列表，其中每个 VPC 都被指定为参考，例如动态参考或者Ref 内部函数. 有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

IntrinsicVpcWhitelist

允许的 VPC 列表，其中每个 VPC 都被指定为参考，例如动态参考或者Ref 内部函数.

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数。

IntrinsicVpceBlacklist

要阻止的 VPC 终端节点列表，其中每个 VPC 终端节点都被指定为参考，例如动态参考或者Ref 内部函数.

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

IntrinsicVpceWhitelist

要允许的 VPC 终端节点列表，其中每个 VPC 终端节点都被指定为参考，例如动态参考或者Ref 内部函数. 有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数

IpRangeBlacklist

要阻止的 IP 地址或地址范围。有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数。

IpRangeWhitelist

允许的 IP 地址或地址范围。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数。

SourceVpcBlacklist

要阻止的源 VPC 或 VPC 终端节点。源 VPC 名称必须以"vpc-"源 VPC 终端节点名称必须以开头"vpce-". 有关使用此属性的示例，请参阅本页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数。

SourceVpcWhitelist

允许的源 VPC 或 VPC 终端节点。源 VPC 名称必须以"vpc-"源 VPC 终端节点名称必须以开头"vpce-".

类型：List

必需：否

Amazon CloudFormation兼容性：对是唯一的Amazon SAM没有Amazon CloudFormation等效函数。

Examples

资源策略示例

以下示例阻止两个 IP 地址和一个源 VPC，并允许Amazonaccount.

YAML

Auth:
  ResourcePolicy:
    CustomStatements: [{
                         "Effect": "Allow",
                         "Principal": "*",
                         "Action": "execute-api:Invoke",
                         "Resource": "execute-api:/Prod/GET/pets",
                         "Condition": {
                           "IpAddress": {
                             "aws:SourceIp": "1.2.3.4"
                           }
                         }
                       }]
    IpRangeBlacklist:
      - "10.20.30.40"
      - "1.2.3.4"
    SourceVpcBlacklist:
      - "vpce-1a2b3c4d"
    AwsAccountWhitelist:
      - "111122223333"
    IntrinsicVpcBlacklist:
      - "{{resolve:ssm:SomeVPCReference:1}}" 
      - !Ref MyVPC
    IntrinsicVpceWhitelist:
      - "{{resolve:ssm:SomeVPCEReference:1}}" 
      - !Ref MyVPCE