Portalprodukte im API Gateway teilen

Wenn Sie Ihr Produkt mit einem anderen Konto teilen, kann dieses Konto keine Eigenschaften Ihrer REST-API ändern. Dazu gehören die Integrationsendpunkte, die Autorisierungsstrategie oder die Stufenkonfiguration.

Wenn Sie das Portalprodukt eines anderen Kontos zu Ihrem Portal hinzufügen, kann der Portal-Produkteigentümer keine anderen Eigenschaften Ihres Portals anzeigen oder steuern. Der Produktbesitzer des Portals weiß nur, dass das Produkt in Ihrem Portal verwendet wird.

Die Produkte des API Gateway-Portals werden auf der AWS-Region Ebene gemeinsam genutzt.

Sie können eine einzelne Ressourcenfreigabe für mehrere Prinzipale verwenden und weitere Prinzipale hinzufügen, nachdem Sie die Ressourcenfreigabe erstellt haben. Wir empfehlen, dass Sie Ihre Ressourcenfreigabe nach Möglichkeit wiederverwenden.

Wenn beide Konten von derselben Organisation verwendet werden AWS Organizations, wird die gemeinsame Nutzung der Ressourcen automatisch akzeptiert. Sie müssen jedoch trotzdem mithilfe von AWS RAM eine Ressourcenfreigabe erstellen.

Wenn beide Konten derselben Organisation angehören AWS Organizations und die gemeinsame Nutzung von Ressourcen innerhalb Ihrer Organisation aktiviert ist, erhalten alle Hauptbenutzer in der Organisation, mit der Sie die Ressourcen gemeinsam nutzen, automatisch Zugriff auf die Ressourcenfreigaben. Es ist keine Einladung erforderlich und Sie können die gemeinsame Ressourcennutzung überspringen.

Wenn das Konto, mit dem Sie das Produkt geteilt haben, die gemeinsame Nutzung von Ressourcen nicht innerhalb von 12 Stunden akzeptiert, müssen Sie die Ressource erneut teilen.

Nachdem Sie die Ressourcenfreigabe erstellt haben, AWS RAM aktualisiert die Richtlinie zur Produktfreigabe Ihres Produkts, sodass Prinzipale ohne ausdrücklichen Zugriff keinen allow Zugriff darauf haben. Weitere Informationen finden Sie unter Ermitteln, ob eine Anforderung innerhalb eines Kontos zugelassen oder verweigert wird im IAM-Benutzerhandbuch.

Die aktualisierte Ressourcenrichtlinie sieht wie folgt aus:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM hat verhindert, dass Principals ohne ausdrückliche Zugriffsberechtigung Ihr Produkt zu ihrem Portal hinzufügen können, indem Folgendes hinzugefügt wurde:

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }