Portalprodukte in API Gateway teilen

Wenn Sie Ihr Produkt mit einem anderen Konto teilen, kann dieses Konto keine Eigenschaften Ihrer REST-API ändern. Dazu gehören die Integrationsendpunkte, die Autorisierungsstrategie oder die Stufenkonfiguration.

Wenn Sie das Portalprodukt eines anderen Kontos zu Ihrem Portal hinzufügen, kann der Eigentümer des Portalprodukts keine anderen Eigenschaften Ihres Portals anzeigen oder steuern. Der Portalprodukteigentümer weiß nur, dass das Produkt in Ihrem Portal verwendet wird.

API Gateway Gateway-Portalprodukte werden auf der AWS-Region Ebene gemeinsam genutzt.

Sie können eine einzelne Ressourcenfreigabe für mehrere Prinzipale verwenden und weitere Prinzipale hinzufügen, nachdem Sie die Ressourcenfreigabe erstellt haben. Wir empfehlen, dass Sie Ihre Ressourcenfreigabe nach Möglichkeit wiederverwenden.

Wenn sich beide Konten in derselben Organisation befinden, die verwendet AWS Organizations, wird die gemeinsame Nutzung der Ressource automatisch akzeptiert. Sie müssen jedoch trotzdem mithilfe von AWS RAM eine Ressourcenfreigabe erstellen.

Wenn sich beide Konten in derselben Organisation befinden AWS Organizations und die gemeinsame Nutzung von Ressourcen innerhalb Ihrer Organisation aktiviert ist, wird allen Prinzipalen in der Organisation, für die Sie die Ressourcen gemeinsam nutzen, automatisch Zugriff auf die Ressourcenfreigaben gewährt. Es ist keine Einladung erforderlich und Sie können die gemeinsame Ressourcennutzung überspringen.

Wenn das Konto, mit dem Sie das Produkt geteilt haben, die gemeinsame Nutzung der Ressource nicht innerhalb von 12 Stunden akzeptiert, müssen Sie die Ressource erneut teilen.

Nachdem Sie die Ressourcenfreigabe erstellt haben, AWS RAM aktualisiert die Produktfreigaberichtlinie Ihres Produkts, um den Zugriff auf Prinzipale ohne ausdrücklichen allow Zugriff zu verhindern. Weitere Informationen finden Sie unter Ermitteln, ob eine Anforderung innerhalb eines Kontos zugelassen oder verweigert wird im IAM-Benutzerhandbuch.

Die aktualisierte Ressourcenrichtlinie wird wie folgt aussehen:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM hat verhindert, dass Principals ohne ausdrücklichen Zugriff Ihr Produkt zu ihrem Portal hinzufügen können. Dazu wurde Folgendes hinzugefügt:

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }