Partagez les produits du portail dans API Gateway

Lorsque vous partagez votre produit avec un autre compte, celui-ci ne peut modifier aucune des propriétés de votre API REST. Cela inclut les points de terminaison d'intégration, la stratégie d'autorisation ou la configuration des étapes.

Lorsque vous ajoutez le produit de portail d'un autre compte à votre portail, le propriétaire du produit du portail ne peut ni consulter ni contrôler les autres propriétés de votre portail. Le responsable du produit du portail sait uniquement que le produit est utilisé sur votre portail.

Les produits du portail API Gateway sont partagés au Région AWS niveau.

Vous pouvez utiliser un partage de ressources avec plusieurs principaux, et après avoir créé le partage de ressources, vous pouvez y ajouter d’autres principaux. Nous vous recommandons, dans la mesure du possible, de réutiliser votre partage de ressources.

Si les deux comptes appartiennent à la même organisation AWS Organizations, le partage des ressources est automatiquement accepté. Vous devez tout de même créer le partage de ressources à l’aide d’ AWS RAM.

Si les deux comptes appartiennent à la même organisation AWS Organizations et que le partage des ressources est activé au sein de votre organisation, tous les principaux de l'organisation avec lesquels vous partagez des ressources ont automatiquement accès aux partages de ressources. Aucune invitation n’est nécessaire et vous pouvez ignorer le partage des ressources.

Si le compte avec lequel vous avez partagé le produit n'accepte pas le partage de ressources dans les 12 heures, vous devez partager à nouveau la ressource.

Après avoir créé le partage de ressources, AWS RAM met à jour la politique de partage de produits de votre produit afin d'empêcher l'accès aux principaux sans allow accès explicite. Pour plus d’informations, consultez Determining whether a request is allowed or denied within an account dans le Guide de l’utilisateur IAM.

La politique de ressources mise à jour ressemblera à ce qui suit :

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM a empêché les donneurs d'ordre sans autorisation explicite d'ajouter votre produit à leur portail, en ajoutant ce qui suit :

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }