Beispiele für identitätsbasierte Amazon API Gateway-Richtlinien
Standardmäßig verfügen IAM-Benutzer und -Rollen nicht über die Berechtigung zum Erstellen oder Ändern von API Gateway-Ressourcen. Sie können auch keine Aufgaben mithilfe der AWS Management Console, AWS CLI oder AWS SDKs ausführen. Ein IAM-Administrator muss IAM-Richtlinien erstellen, die Benutzern und Rollen die Berechtigung zum Ausführen bestimmter API-Operationen für die angegebenen Ressourcen gewähren, die diese benötigen. Der Administrator muss diese Richtlinien anschließend den IAM-Benutzern oder -Gruppen anfügen, die diese Berechtigungen benötigen.
Informationen zum Erstellen von IAM-Richtlinien finden Sie unter Erstellen von Richtlinien im JSON-Reiter im IAM-Benutzerhandbuch. Weitere Informationen zu den Aktionen, Ressourcen und Bedingungen, die für API Gateway spezifisch sind, finden Sie im Abschnitt Aktionen, Ressourcen und Bedingungsschlüssel für Amazon-API-Gateway-Management und Aktionen, Ressourcen und Bedingungsschlüssel für Amazon-API-Gateway-Management V2.
Themen
Bewährte Methoden für Richtlinien
Identitätsbasierte Richtlinien können festlegen, ob jemand API-Gateway-Ressourcen in Ihrem Konto erstellen, darauf zugreifen oder daraus löschen kann. Dies kann zusätzliche Kosten für Ihr verursachen AWS-Konto. Befolgen Sie beim Erstellen oder Bearbeiten identitätsbasierter Richtlinien die folgenden Anleitungen und Empfehlungen:
-
Erste Schritte mit AWS-verwaltete Richtlinien und Umstellung auf Berechtigungen mit den geringsten Berechtigungen – Um Ihren Benutzern und Workloads Berechtigungen zu gewähren, verwenden Sie die AWS-verwaltete Richtlinien die Berechtigungen für viele allgemeine Anwendungsfälle gewähren. Sie sind in Ihrem AWS-Konto verfügbar. Wir empfehlen Ihnen, die Berechtigungen weiter zu reduzieren, indem Sie vom Kunden verwaltete AWS-Richtlinien definieren, die speziell auf Ihre Anwendungsfälle zugeschnitten sind. Weitere Informationen finden Sie unter AWS-verwaltete Richtlinien oder AWS-verwaltete Richtlinien für Auftrags-Funktionen im IAM-Benutzerhandbuch.
-
Anwendung von Berechtigungen mit den geringsten Rechten – Wenn Sie mit IAM-Richtlinien Berechtigungen festlegen, gewähren Sie nur die Berechtigungen, die für die Durchführung einer Aufgabe erforderlich sind. Sie tun dies, indem Sie die Aktionen definieren, die für bestimmte Ressourcen unter bestimmten Bedingungen durchgeführt werden können, auch bekannt als die geringsten Berechtigungen. Weitere Informationen zur Verwendung von IAM zum Anwenden von Berechtigungen finden Sie unter Richtlinien und Berechtigungen in IAM im IAM-Benutzerhandbuch.
-
Verwenden von Bedingungen in IAM-Richtlinien zur weiteren Einschränkung des Zugriffs – Sie können Ihren Richtlinien eine Bedingung hinzufügen, um den Zugriff auf Aktionen und Ressourcen zu beschränken. Sie können beispielsweise eine Richtlinienbedingung schreiben, um festzulegen, dass alle Anforderungen mithilfe von SSL gesendet werden müssen. Sie können auch Bedingungen verwenden, um Zugriff auf Service-Aktionen zu gewähren, wenn diese durch ein bestimmtes AWS-Service, wie beispielsweise AWS CloudFormation, verwendet werden. Weitere Informationen finden Sie unter IAM-JSON-Richtlinienelemente: Bedingung im IAM-Benutzerhandbuch.
-
Verwenden von IAM Access Analyzer zur Validierung Ihrer IAM-Richtlinien, um sichere und funktionale Berechtigungen zu gewährleisten – IAM Access Analyzer validiert neue und vorhandene Richtlinien, damit die Richtlinien der IAM-Richtliniensprache (JSON) und den bewährten IAM-Methoden entsprechen. IAM Access Analyzer stellt mehr als 100 Richtlinienprüfungen und umsetzbare Empfehlungen zur Verfügung, damit Sie sichere und funktionale Richtlinien erstellen können. Weitere Informationen finden Sie unter Richtlinienvalidierung mit IAM Access Analyzer im IAM-Benutzerhandbuch.
-
Bedarf einer Multi-Faktor-Authentifizierung (MFA) – Wenn Sie ein Szenario haben, das IAM-Benutzer oder Root-Benutzer in Ihrem AWS-Konto erfordert, aktivieren Sie MFA für zusätzliche Sicherheit. Um MFA beim Aufrufen von API-Vorgängen anzufordern, fügen Sie Ihren Richtlinien MFA-Bedingungen hinzu. Weitere Informationen finden Sie unter Sicherer API-Zugriff mit MFA im IAM-Benutzerhandbuch.
Weitere Informationen zu bewährten Methoden in IAM finden Sie unter Bewährte Methoden für die Sicherheit in IAM im IAM-Benutzerhandbuch.
Gewähren der Berechtigung zur Anzeige der eigenen Berechtigungen für Benutzer
In diesem Beispiel wird gezeigt, wie Sie eine Richtlinie erstellen, die IAM-Benutzern die Berechtigung zum Anzeigen der eingebundenen Richtlinien und verwalteten Richtlinien gewährt, die ihrer Benutzeridentität angefügt sind. Diese Richtlinie enthält Berechtigungen für die Ausführung dieser Aktion auf der Konsole oder für die programmgesteuerte Ausführung über die AWS CLI oder die AWS-API.
{ "Version": "2012-10-17", "Statement": [ { "Sid": "ViewOwnUserInfo", "Effect": "Allow", "Action": [ "iam:GetUserPolicy", "iam:ListGroupsForUser", "iam:ListAttachedUserPolicies", "iam:ListUserPolicies", "iam:GetUser" ], "Resource": ["arn:aws:iam::*:user/${aws:username}"] }, { "Sid": "NavigateInConsole", "Effect": "Allow", "Action": [ "iam:GetGroupPolicy", "iam:GetPolicyVersion", "iam:GetPolicy", "iam:ListAttachedGroupPolicies", "iam:ListGroupPolicies", "iam:ListPolicyVersions", "iam:ListPolicies", "iam:ListUsers" ], "Resource": "*" } ] }
Einfache Leseberechtigungen
Diese Beispielrichtlinie gibt einem Benutzer die Berechtigung, Informationen über alle Ressourcen einer HTTP- oder WebSocket-API mit der Kennung von a123456789 in der AWS-Region „us-east-1“ zu erhalten. Die Ressource arn:aws:apigateway: umfasst alle Unterressourcen der API, wie Autorisierer und Bereitstellungen.us-east-1::/apis/a123456789/*
Nur REQUEST- oder JWT-Autorisierer erstellen
Diese Beispielrichtlinie ermöglicht es einem Benutzer, APIs nur mit REQUEST- oder JWT-Autorisierern zu erstellen, einschließlich durch Import. Im Resource-Abschnitt der Richtlinie arn:aws:apigateway:us-east-1::/apis/?????????? ist festgelegt, dass Ressourcen maximal 10 Zeichen haben, was Unterressourcen einer API ausschließt. Dieses Beispiel verwenden ForAllValues im Condition-Abschnitt, da Benutzer mehrere Autorisierer gleichzeitig erstellen können, indem sie eine API importieren.
Erfordern, dass der execute-api-Standard-Endpunkt deaktiviert ist
Diese Beispielrichtlinie ermöglicht es Benutzern, eine API mit der Anforderung, dass DisableExecuteApiEndpoint true ist, zu erstellen, zu aktualisieren oder zu importieren. Wenn DisableExecuteApiEndpoint true ist, können Clients den execute-api-Standard-Endpunkt nicht zum Aufrufen einer API verwenden.
Wir verwenden die BoolIfExists-Bedingung, um einen Aufruf zur Aktualisierung einer API zu bearbeiten, für die der DisableExecuteApiEndpoint-Bedingungsschlüssel nicht ausgefüllt ist. Wenn ein Benutzer versucht, eine API zu erstellen oder zu importieren, wird der DisableExecuteApiEndpoint-Bedingungsschlüssel immer ausgefüllt.
Da die apis/*-Ressource auch Unterressourcen, wie Autorisierer oder Methoden, erfasst, haben wir sie explizit nur auf APIs mit einer Deny-Anweisung festgelegt.
Benutzern erlauben, nur private REST-APIs zu erstellen oder zu aktualisieren
Diese Beispielrichtlinie verwendet Anforderungsbedingungsschlüssel, um zu verlangen, dass ein Benutzer nur PRIVATE-APIs erstellt, und um Updates zu verhindern, die eine API von PRIVATE in einen anderen Typ ändern könnten, wie REGIONAL.
Wir verwenden ForAllValues, um zu verlangen, dass jeder EndpointType, der einer API hinzugefügt wird, PRIVATE ist. Wir verwenden einen Ressourcenbedingungsschlüssel, um jedes Update für eine API zu ermöglichen, solange es PRIVATE ist. ForAllValues gilt nur, wenn ein Bedingungsschlüssel vorhanden ist.
Wir verwenden den Non-Greedy Matcher (?), um explizit mit API-IDs abzugleichen, um zu verhindern, dass Nicht-API-Ressourcen, wie Autorisierer, zugelassen werden.
Erfordern, dass API-Routen Autorisierung haben
Diese Richtlinie führt dazu, dass Versuche, eine Route zu erstellen oder zu aktualisieren (einschließlich durch Import), fehlschlagen, wenn die Route keine Autorisierung hat. ForAnyValue wird als „false“ ausgewertet, wenn der Schlüssel nicht vorhanden ist, z. B. wenn eine Route nicht erstellt oder aktualisiert wird. Wir verwenden ForAnyValue, da durch den Import mehrere Routen erstellt werden können.
Verhindern Sie, dass ein Benutzer einen VPC-Link erstellt oder aktualisiert
Diese Richtlinie verhindert, dass ein Benutzer einen VPC-Link erstellt oder aktualisiert. Ein VPC-Link ermöglicht es Ihnen, Ressourcen innerhalb einer Amazon VPC an Clients außerhalb der VPC bereitzustellen.
Beispielrichtlinien für die Verwendung von Routing-Regeln
Die folgenden Beispielrichtlinien zeigen, wie Sie die RoutingRule-Bedingungsschlüssel verwenden können, um zu steuern, wie Benutzer den Datenverkehr von ihren benutzerdefinierten Domainnamen zu ihren REST-APIs weiterleiten. Sie können diese Beispiele verwenden, um detaillierte Richtlinien zu erstellen, welche Arten von Routing-Regeln Benutzer festlegen dürfen. Weitere Informationen finden Sie unter Routing-Regeln zum Verbinden von API-Stufen mit einem benutzerdefinierten Domainnamen für REST-APIs.
Verhindern, dass ein Benutzer die Art und Weise der Weiterleitung von Anfragen durch einen benutzerdefinierten Domainnamen ändert
Diese Richtlinie verhindert, dass ein Benutzer BasePathMapping, ApiMapping oder RoutingRule erstellt oder aktualisiert. Alle diese Ressourcen könnten die Art und Weise verändern, wie eine benutzerdefinierte Domain Anfragen an APIs weiterleitet.
Benutzern erlauben, eine Routing-Regel für bestimmte Prioritäten zu aktualisieren
Diese Richtlinie erlaubt einem Benutzer nur, eine Routing-Regel auf eine Priorität zwischen 1 001 und 2 000 zu aktualisieren. Sie können diese Regel verwenden, um Ihre Produktionsregeln von Regeln mit niedrigerer Priorität zu trennen und Benutzern zu erlauben, Regeln mit niedrigerer Priorität zu ändern, ohne dass dies Auswirkungen auf die Produktionsregeln hat.
Benutzern erlauben, eine Routing-Regel oder eine Basispfadzuweisung für einen bestimmten Basispfadwert zu aktualisieren
Diese Richtlinie erlaubt es einem Benutzer nur, eine Basispfadzuweisung für jeden Basispfad zu aktualisieren, der mit orders beginnt, oder eine Routing-Regel zu aktualisieren, die zu einem Basispfad passt, der mit orders beginnt. Aufgrund dieser Richtlinie kann ein Benutzer eine Basispfadzuweisung oder eine Routing-Regel für orders/create oder orders123 aktualisieren, aber nicht für payment/orders.
Benutzern erlauben, den Routing-Modus auf bestimmte Werte zu aktualisieren
Diese Richtlinie erlaubt einem Benutzer, nur den Routing-Modus auf API_MAPPING_ONLY oder ROUTING_RULE_THEN_API_MAPPING zu aktualisieren. Weitere Informationen zum Routing-Modus finden Sie unter Festlegen des Routing-Modus für Ihren benutzerdefinierten Domainnamen.
