本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。
ResourcePolicyStatement
为 API 的所有方法和路径配置资源策略。有关资源策略的更多信息,请参阅 中的API 网关使用 资源策略控制对 API 的访问。API 网关 开发人员指南
语法
在您的 中声明此实体 AWS 无服务器应用程序模型 (AWS SAM) 模板时,请使用以下语法。
YAML
AwsAccountBlacklist:
List
AwsAccountWhitelist:List
CustomStatements:List
IntrinsicVpcBlacklist:List
IntrinsicVpcWhitelist:List
IntrinsicVpceBlacklist:List
IntrinsicVpceWhitelist:List
IpRangeBlacklist:List
IpRangeWhitelist:List
SourceVpcBlacklist:List
SourceVpcWhitelist:List
属性
-
AwsAccountBlacklist
-
要阻止的 AWS 账户。
类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
AwsAccountWhitelist
-
要允许的 AWS 账户。有关该属性的示例使用,请参阅该页面底部的“示例”部分。
类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
CustomStatements
-
要应用于此 API 的自定义资源策略语句的列表。有关该属性的示例使用,请参阅该页面底部的“示例”部分。
类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IntrinsicVpcBlacklist
-
要阻止的 Virtual Private Cloud (VPC) 的列表,其中每个 VPC 都被指定为一个引用,如动态引用或
Ref
内部函数。有关该属性的示例使用,请参阅该页面底部的“示例”部分。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IntrinsicVpcWhitelist
-
允许的 VPCs 列表,其中每个 VPC 都被指定为一个引用,例如动态引用 或
Ref
内部函数。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IntrinsicVpceBlacklist
-
要阻止的 VPC 终端节点的列表,其中每个 VPC 终端节点都被指定为一个引用,例如动态引用或
Ref
内部函数。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IntrinsicVpceWhitelist
-
允许的 VPC 终端节点的列表,其中每个 VPC 终端节点都指定为引用,如动态引用或
Ref
内部函数。有关该属性的示例使用,请参阅该页面底部的“示例”部分。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IpRangeBlacklist
-
要阻止的 IP 地址或地址范围。有关该属性的示例使用,请参阅该页面底部的“示例”部分。
类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
IpRangeWhitelist
-
允许的 IP 地址或地址范围。
类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
SourceVpcBlacklist
-
要阻止的源 VPC 或 VPC 终端节点。源 VPC 名称必须以
"vpc-"
开头,源 VPC 终端节点名称必须以"vpce-"
开头。 有关该属性的示例使用,请参阅该页面底部的“示例”部分。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
-
SourceVpcWhitelist
-
允许的源 VPC 或 VPC 终端节点。源 VPC 名称必须以
"vpc-"
开头,源 VPC 终端节点名称必须以"vpce-"
开头。类型:列表
必需: 否
兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。
示例
资源策略示例
以下示例阻止两个 IP 地址和一个源 VPC,并允许一个 AWS 账户。
YAML
Auth: ResourcePolicy: CustomStatements: [{ "Effect": "Allow", "Principal": "*", "Action": "execute-api:Invoke", "Resource": "execute-api:/Prod/GET/pets", "Condition": { "IpAddress": { "aws:SourceIp": "1.2.3.4" } } }] IpRangeBlacklist: - "10.20.30.40" - "1.2.3.4" SourceVpcBlacklist: - "vpce-1a2b3c4d" AwsAccountWhitelist: - "111122223333" IntrinsicVpcBlacklist: - "{{resolve:ssm:SomeVPCReference:1}}" - !Ref MyVPC IntrinsicVpceWhitelist: - "{{resolve:ssm:SomeVPCEReference:1}}" - !Ref MyVPCE