Compartilhar produtos do portal no API Gateway

Quando você compartilha seu produto com outra conta, esta não pode modificar nenhuma propriedade da sua API REST. Isso inclui os endpoints de integração, a estratégia de autorização ou a configuração do estágio.

Quando você adiciona o produto do portal de outra conta ao seu portal, o proprietário do produto não pode visualizar nem controlar nenhuma outra propriedade do seu portal. O proprietário do produto do portal apenas sabe que o produto está sendo usado no seu portal.

Os produtos do portal do API Gateway são compartilhados em nível de Região da AWS.

É possível usar um compartilhamento de recursos com várias entidades principais e, depois de criar o compartilhamento de recursos, adicionar mais entidades principais a ele. Recomendamos que, quando possível, você reutilize seu compartilhamento de recursos.

Se as duas contas estiverem na mesma organização que está utilizando o AWS Organizations, o compartilhamento de recursos será aceito automaticamente. Ainda assim você precisa criar o compartilhamento de recursos usando o AWS RAM.

Se as duas contas estiverem na mesma organização que está usando o AWS Organizations e o compartilhamento de recursos dentro da organização estiver habilitado, todas as entidades principais na organização com as quais você compartilhar receberão acesso automaticamente aos compartilhamentos de recursos. Não há necessidade de convite, e você pode ignorar o compartilhamento de recursos.

Se a conta com a qual você compartilhou o produto não aceitar o compartilhamento de recursos em 12 horas, você deverá compartilhar o recurso novamente.

Após a criação do compartilhamento de recursos, o AWS RAM atualiza a política de compartilhamento referente ao produto a fim de impedir o acesso a entidades principais sem o acesso explícito allow. Para ter mais informações, consulte Determining whether a request is allowed or denied within an account no Guia do usuário do IAM.

A política de recurso atualizada será semelhante ao seguinte:

{
    "Version": "2012-10-17",		 	 	 
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:GetProduct",
                "apigateway:ListEndpoints",
                "apigateway:ListPages",
                "apigateway:GetEndpoint",
                "apigateway:GetPage"
            ],
            "Resource": [
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id",
                "arn:aws:apigateway:us-east-1:111122223333:/portalproducts/product-id/*"
            ]
        }
    ]
}

O AWS RAM impediu que entidades principais sem acesso “allow” explícito adicionassem o produto ao portal, adicionando o seguinte:

"StringNotEquals": { "aws:PrincipalAccount": "555555555555" }