如何根据策略将 IAM 访问 APIGateway 列入白名单

Question

我在 ApiGateway 中启用了 AuthorizationType: AWS_IAM 的方法。当我为 IAM 用户提供 AccessKey 和 SecretKey 并在标头中使用编程访问策略时，此方法有效，但这只是预期结果的一半。

有没有办法进一步扩展此授权以仅允许为特定 API 网关方法附加策略的 IAM 用户？

我最初的想法是在 API 网关上有一个资源策略来拒绝所有请求，然后将方法访问策略分配给特定的 IAM 用户以覆盖它，但根据Policy Evaluation Logic documentation，任何具有显式拒绝的资源都会覆盖那个与允许。

是否可以将 API Gateway 方法限制为仅允许具有该方法的允许策略（也称为“白名单”）的 IAM 用户？

Answer 1

您可以附加允许用户调用特定 API 方法的 IAM 策略。用户在没有调用权限的情况下无法调用api端点。

为了测试，我创建了一个没有权限的用户，我收到了以下错误。

{
    "Message": "User: arn:aws:iam::********1111:user/test-api-gateway-iam-auth is not authorized to perform: execute-api:Invoke on resource: arn:aws:execute-api:ap-southeast-2:********1111:b2r0m0gev9/test/GET/"
}

我已将以下策略附加到 IAM 用户。该策略允许用户调用特定的 api 方法。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": [
                "arn:aws:execute-api:ap-southeast-2:********1111:xxx/test/GET/"
            ]
        }
    ]
}