Condividi i prodotti del portale in API Gateway

Quando condividi il prodotto con un altro account, quell'account non può modificare alcuna proprietà della tua API REST. Ciò include gli endpoint di integrazione, la strategia di autorizzazione o la configurazione della fase.

Quando si aggiunge il prodotto del portale di un altro account nel portale, il proprietario del prodotto del portale non può visualizzare o controllare altre proprietà del portale. Il proprietario del prodotto del portale sa solo che il prodotto viene utilizzato nel portale.

I prodotti del portale API Gateway sono condivisi a Regione AWS livello.

Puoi utilizzare una condivisione di risorse con più principali e, dopo aver creato la condivisione di risorse, aggiungervi altri principali. È consigliabile riutilizzare la condivisione di risorse, quando possibile.

Se entrambi gli account fanno parte della stessa organizzazione che utilizza AWS Organizations, la condivisione delle risorse viene accettata automaticamente. È comunque necessario creare la condivisione di risorse tramite AWS RAM.

Se entrambi gli account fanno parte della stessa organizzazione che utilizza AWS Organizations e la condivisione delle risorse all'interno dell'organizzazione è abilitata, a tutti i responsabili dell'organizzazione con cui si condivide viene automaticamente concesso l'accesso alle condivisioni di risorse. Non è necessario un invito e puoi evitare la condivisione di risorse.

Se l'account con cui hai condiviso il prodotto non accetta la condivisione delle risorse entro 12 ore, devi condividere nuovamente la risorsa.

Dopo aver creato la condivisione delle risorse, AWS RAM aggiorna la politica di condivisione del prodotto per impedire l'accesso ai principali utenti senza un accesso esplicitoallow. Per ulteriori informazioni, consulta Determining whether a request is allowed or denied within an account nella Guida per l'utente di IAM.

La politica delle risorse aggiornata sarà simile alla seguente:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

AWS RAM ha impedito ai committenti senza autorizzazione esplicita di aggiungere il prodotto al loro portale, aggiungendo quanto segue:

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }