Condividi i prodotti del portale in API Gateway

Quando condividi il prodotto con un altro account, quell'account non può modificare alcuna proprietà dell'API REST. Ciò include gli endpoint di integrazione, la strategia di autorizzazione o la configurazione della fase.

Quando aggiungi il prodotto del portale di un altro account al tuo portale, il proprietario del prodotto del portale non può visualizzare o controllare altre proprietà del portale. Il proprietario del prodotto del portale sa solo che il prodotto viene utilizzato nel portale.

I prodotti del portale API Gateway sono condivisi a Regione AWS livello.

Puoi utilizzare una condivisione di risorse con più principali e, dopo aver creato la condivisione di risorse, aggiungervi altri principali. È consigliabile riutilizzare la condivisione di risorse, quando possibile.

Se entrambi gli account appartengono alla stessa organizzazione che li utilizza AWS Organizations, la condivisione delle risorse viene accettata automaticamente. È comunque necessario creare la condivisione di risorse tramite AWS RAM.

Se entrambi gli account appartengono alla stessa organizzazione AWS Organizations e la condivisione delle risorse all'interno dell'organizzazione è abilitata, a tutti i responsabili dell'organizzazione con cui si condivide la condivisione viene automaticamente concesso l'accesso alle condivisioni di risorse. Non è necessario un invito e puoi evitare la condivisione di risorse.

Se l'account con cui hai condiviso il prodotto non accetta la condivisione delle risorse entro 12 ore, devi condividere nuovamente la risorsa.

Dopo aver creato la condivisione delle risorse, AWS RAM aggiorna la politica di condivisione dei prodotti del prodotto per impedire l'accesso ai principali senza accesso esplicitoallow. Per ulteriori informazioni, consulta Determining whether a request is allowed or denied within an account nella Guida per l'utente di IAM.

La politica delle risorse aggiornata sarà simile alla seguente:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM ha impedito ai mandanti senza autorizzazione esplicita di aggiungere il prodotto al loro portale, aggiungendo quanto segue:

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }