ResourcePolicyStatement - AWS Serverless Application Model
语法属性示例
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 AWS 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

ResourcePolicyStatement

为 API 的所有方法和路径配置资源策略。有关资源策略的更多信息,请参阅 中的API 网关使用 资源策略控制对 API 的访问。API 网关 开发人员指南

语法

在您的 中声明此实体 AWS 无服务器应用程序模型 (AWS SAM) 模板时,请使用以下语法。

属性

AwsAccountBlacklist

要阻止的 AWS 账户。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

AwsAccountWhitelist

要允许的 AWS 账户。有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

CustomStatements

要应用于此 API 的自定义资源策略语句的列表。有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IntrinsicVpcBlacklist

要阻止的 Virtual Private Cloud (VPC) 的列表,其中每个 VPC 都被指定为一个引用,如动态引用或 Ref 内部函数。有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IntrinsicVpcWhitelist

允许的 VPCs 列表,其中每个 VPC 都被指定为一个引用,例如动态引用 或 Ref 内部函数。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IntrinsicVpceBlacklist

要阻止的 VPC 终端节点的列表,其中每个 VPC 终端节点都被指定为一个引用,例如动态引用或 Ref 内部函数。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IntrinsicVpceWhitelist

允许的 VPC 终端节点的列表,其中每个 VPC 终端节点都指定为引用,如动态引用或 Ref 内部函数。有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IpRangeBlacklist

要阻止的 IP 地址或地址范围。有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

IpRangeWhitelist

允许的 IP 地址或地址范围。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

SourceVpcBlacklist

要阻止的源 VPC 或 VPC 终端节点。源 VPC 名称必须以 "vpc-" 开头,源 VPC 终端节点名称必须以 "vpce-" 开头。 有关该属性的示例使用,请参阅该页面底部的“示例”部分。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

SourceVpcWhitelist

允许的源 VPC 或 VPC 终端节点。源 VPC 名称必须以 "vpc-" 开头,源 VPC 终端节点名称必须以 "vpce-" 开头。

类型:列表

必需: 否

兼容性AWS CloudFormation: 此属性对于 AWS SAM 是唯一的,没有等效的 AWS CloudFormation。

示例

资源策略示例

以下示例阻止两个 IP 地址和一个源 VPC,并允许一个 AWS 账户。

YAML

Auth:
  ResourcePolicy:
    CustomStatements: [{
                         "Effect": "Allow",
                         "Principal": "*",
                         "Action": "execute-api:Invoke",
                         "Resource": "execute-api:/Prod/GET/pets",
                         "Condition": {
                           "IpAddress": {
                             "aws:SourceIp": "1.2.3.4"
                           }
                         }
                       }]
    IpRangeBlacklist:
      - "10.20.30.40"
      - "1.2.3.4"
    SourceVpcBlacklist:
      - "vpce-1a2b3c4d"
    AwsAccountWhitelist:
      - "111122223333"
    IntrinsicVpcBlacklist:
      - "{{resolve:ssm:SomeVPCReference:1}}" 
      - !Ref MyVPC
    IntrinsicVpceWhitelist:
      - "{{resolve:ssm:SomeVPCEReference:1}}" 
      - !Ref MyVPCE