Fournisseur d’API : partage de votre nom de domaine personnalisé privé à l’aide d’AWS RAM

Les noms de domaine personnalisés privés sont partagés au niveau de la Région AWS. Le nom de domaine personnalisé privé et le point de terminaison de VPC doivent se trouver dans la même Région AWS.

Vous pouvez utiliser un partage de ressources avec plusieurs principaux, et après avoir créé le partage de ressources, vous pouvez y ajouter d’autres principaux. Nous vous recommandons, dans la mesure du possible, de réutiliser votre partage de ressources.

Vous devez toujours autoriser le point de terminaison de VPC de l’utilisateur d’API à invoquer votre nom de domaine personnalisé privé et toutes les API privées qui y sont mappées.

Si l’utilisateur d’API et le fournisseur d’API font partie d’une même organisation utilisant AWS Organizations, le partage des ressources est automatiquement accepté. Vous devez tout de même créer le partage de ressources à l’aide d’AWS RAM.

Si l’utilisateur d’API et le fournisseur d’API font partie d’une même organisation utilisant AWS Organizations et que le partage des ressources au sein de votre organisation est activé, les ressources sont automatiquement partagées avec les principaux de l’organisation. Aucune invitation n’est nécessaire et vous pouvez ignorer le partage des ressources.

Si l’utilisateur d’API n’accepte pas le partage de ressources dans les 12 heures, le fournisseur d’API doit à nouveau partager la ressource.

Après avoir créé le partage de ressources, AWS RAM met à jour la politique managementPolicy pour le service Amazon API Gateway Management pour votre nom de domaine personnalisé privé afin d’empêcher l’accès aux principaux qui ne disposent pas d’un accès allow explicite. Pour plus d’informations, consultez Determining whether a request is allowed or denied within an account dans le Guide de l’utilisateur IAM.

La politique managementPolicy mise à jour ressemble à ce qui suit :

AWS RAM a empêché les principaux sans accès allow explicite de créer des associations d’accès avec votre nom de domaine personnalisé privé, en ajoutant ce qui suit :

"StringNotEquals": {
    "aws:PrincipalAccount": "111122223333"
}

Vous pouvez tout de même utiliser le principal du Compte AWS ayant créé le nom de domaine personnalisé privé pour créer des associations d’accès au nom de domaine.