Partagez les produits du portail dans API Gateway

Lorsque vous partagez votre produit avec un autre compte, celui-ci ne peut modifier aucune propriété de votre API REST. Cela inclut les points de terminaison de l'intégration, la stratégie d'autorisation ou la configuration de l'étape.

Lorsque vous ajoutez le produit de portail d'un autre compte à votre portail, le propriétaire du produit de portail ne peut ni afficher ni contrôler aucune autre propriété de votre portail. Le propriétaire du produit du portail sait uniquement que le produit est utilisé sur votre portail.

Les produits du portail API Gateway sont partagés au Région AWS niveau.

Vous pouvez utiliser un partage de ressources avec plusieurs principaux, et après avoir créé le partage de ressources, vous pouvez y ajouter d’autres principaux. Nous vous recommandons, dans la mesure du possible, de réutiliser votre partage de ressources.

Si les deux comptes sont utilisés par la même organisation AWS Organizations, le partage des ressources est automatiquement accepté. Vous devez tout de même créer le partage de ressources à l’aide d’ AWS RAM.

Si les deux comptes appartiennent à la même organisation AWS Organizations et que le partage des ressources au sein de votre organisation est activé, tous les principaux membres de l'organisation avec lesquels vous partagez ont automatiquement accès aux partages de ressources. Aucune invitation n’est nécessaire et vous pouvez ignorer le partage des ressources.

Si le compte avec lequel vous avez partagé le produit n'accepte pas le partage des ressources dans les 12 heures, vous devez partager à nouveau la ressource.

Une fois que vous avez créé le partage de ressources, AWS RAM mettez à jour la politique de partage des produits de votre produit afin d'empêcher l'accès aux principaux sans allow accès explicite. Pour plus d’informations, consultez Determining whether a request is allowed or denied within an account dans le Guide de l’utilisateur IAM.

La politique de ressources mise à jour ressemblera à ce qui suit :

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM a empêché les donneurs d'ordre qui n'étaient pas explicitement autorisés à accéder à leur portail d'ajouter votre produit à leur portail, en ajoutant ce qui suit :

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }