本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # Amazon API Gateway 與 IAM 搭配運作的方式 在您使用 IAM 來管理 API Gateway 的存取權之前，您應該了解提供哪些 IAM 功能與 API Gateway 搭配使用。若要全面了解 API Gateway 和其他 AWS 服務如何與 IAM 搭配使用，請參閱《IAM *使用者指南*》中的與 IAM [AWS 搭配使用的 服務](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_aws-services-that-work-with-iam.html)。 **Topics** + [API Gateway 身分類型政策](#security_iam_service-with-iam-id-based-policies) + [API Gateway 資源類型政策](#security_iam_service-with-iam-resource-based-policies) + [根據 API Gateway 標籤授權](#security_iam_service-with-iam-tags) + [API Gateway IAM 角色](#security_iam_service-with-iam-roles) ## API Gateway 身分類型政策 使用 IAM 身分型政策，您可以指定允許或拒絕的動作和資源，以及在何種條件下允許或拒絕動作。API Gateway 支援特定動作、資源和條件索引鍵。如需有關 API Gateway 特定動作、資源和條件索引鍵的詳細資訊，請參閱 [Amazon API Gateway Management 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonapigatewaymanagement.html)和 [Amazon API Gateway Management V2 的動作、資源和條件索引鍵](https://docs.aws.amazon.com/service-authorization/latest/reference/list_amazonapigatewaymanagementv2.html)。有關您在 JSON 政策中使用之所有元素的資訊，請參閱 *IAM 使用者指南*中的 [IAM JSON 政策元素參考](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements.html)。 下列範例顯示允許使用者僅建立或更新私有 REST API 的身分型政策。如需更多範例，請參閱 [Amazon API Gateway 身分型政策範例](security_iam_id-based-policy-examples.md)。 ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Sid": "ScopeToPrivateApis", "Effect": "Allow", "Action": [ "apigateway:PATCH", "apigateway:POST", "apigateway:PUT" ], "Resource": [ "arn:aws:apigateway:us-east-1::/restapis", "arn:aws:apigateway:us-east-1::/restapis/??????????" ], "Condition": { "ForAllValues:StringEqualsIfExists": { "apigateway:Request/EndpointType": "PRIVATE", "apigateway:Resource/EndpointType": "PRIVATE" } } }, { "Sid": "AllowResourcePolicyUpdates", "Effect": "Allow", "Action": [ "apigateway:UpdateRestApiPolicy" ], "Resource": [ "arn:aws:apigateway:us-east-1::/restapis/*" ] } ] } ``` ------ ### 動作 JSON 原則的 `Action` 元素描述您可以用來允許或拒絕原則中存取的動作。 API Gateway 中的政策動作會在動作之前使用下列字首：`apigateway:`。政策陳述式必須包含 `Action` 或 `NotAction` 元素。API Gateway 會定義自己的一組動作，描述您可以使用此服務執行的任務。 API 管理 `Action` 表達式具有格式 `apigateway:action`，其中*動作*是下列 API Gateway 動作之一：**GET**、**POST**、**PUT**、**DELETE**、**PATCH** (以更新資源)，或 **\$1** (此為前述所有動作)。 `Action` 表達式的一些範例包括： + **apigateway:\$1** 是所有 API Gateway 動作。 + **apigateway:GET** 只有 API Gateway 中的 GET 動作。 若要在單一陳述式中指定多個動作，請用逗號分隔，如下所示： ``` "Action": [ "apigateway:action1", "apigateway:action2" ``` 有關用於特定 API Gateway 操作之 HTTP 動詞的資訊，請參閱 [Amazon API Gateway 第 1 版 API 參考](https://docs.aws.amazon.com/apigateway/api-reference/) (REST API) 和 [Amazon API Gateway 第 2 版 API 參考](https://docs.aws.amazon.com/apigatewayv2/latest/api-reference/api-reference.html) (WebSocket 和 HTTP API)。 如需詳細資訊，請參閱[Amazon API Gateway 身分型政策範例](security_iam_id-based-policy-examples.md)。 ### Resources 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Resource` JSON 政策元素可指定要套用動作的物件。最佳實務是使用其 [Amazon Resource Name (ARN)](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference-arns.html) 來指定資源。若動作不支援資源層級許可，使用萬用字元 (\$1) 表示該陳述式適用於所有資源。 ``` "Resource": "*" ``` API Gateway 資源具有以下 ARN 格式： ``` arn:aws:apigateway:region::resource-path-specifier ``` 例如，若要指定具有 ID *`api-id`* 及其子資源的 REST API，例如陳述式中的授權者，請使用下列 ARN： ``` "Resource": "arn:aws:apigateway:us-east-2::/restapis/api-id/*" ``` 若要指定屬於特定帳戶的所有 REST API 和子資源，請使用萬用字元 (\$1)： ``` "Resource": "arn:aws:apigateway:us-east-2::/restapis/*" ``` 若要查看 API Gateway 資源類型及其 ARN 的清單，請參閱[API Gateway Amazon Resource Name (ARN) 參考資料](arn-format-reference.md)。 ### 條件索引鍵 管理員可以使用 AWS JSON 政策來指定誰可以存取內容。也就是說，哪個**主體**在什麼**條件**下可以對什麼**資源**執行哪些**動作**。 `Condition` 元素會根據定義的條件，指定陳述式的執行時機。您可以建立使用[條件運算子](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition_operators.html)的條件運算式 (例如等於或小於)，來比對政策中的條件和請求中的值。若要查看所有 AWS 全域條件索引鍵，請參閱《*IAM 使用者指南*》中的[AWS 全域條件內容索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_condition-keys.html)。 API Gateway 會定義自己的一組條件金鑰，也支援使用一些全域條件金鑰。若要查看 API Gateway 條件索引鍵清單，請參閱*《IAM 使用者指南》*中的 [Amazon API Gateway 條件索引鍵](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_manageamazonapigateway.html#manageamazonapigateway-policy-keys)。若要了解您可以搭配條件索引鍵使用哪些動作和資源，請參閱 [Amazon API Gateway 定義的動作](https://docs.aws.amazon.com/IAM/latest/UserGuide/list_manageamazonapigateway.html#amazonapigateway-actions-as-permissions)。 如需有關標記的資訊 (包括屬性型存取控制)，請參閱 [API Gateway 資源的標記](apigateway-tagging.md)。 ### 範例 若要了解 API Gateway 身分型政策的範例，請參閱[Amazon API Gateway 身分型政策範例](security_iam_id-based-policy-examples.md)。 ## API Gateway 資源類型政策 資源型政策是 JSON 政策文件，這些文件會指定指定的主體可對 API Gateway 資源以及在怎樣的條件下執行哪些動作。API Gateway 支援適用於 REST API 的資源型許可政策。您可以使用資源政策來控制誰可以叫用 REST API。如需詳細資訊，請參閱[使用 API Gateway 資源政策來控制對 REST API 的存取](apigateway-resource-policies.md)。 ### 範例 若要了解 API Gateway 資源型政策的範例，請參閱[API Gateway 資源政策範例](apigateway-resource-policies-examples.md)。 ## 根據 API Gateway 標籤授權 您可以將標籤連接到 API Gateway 資源，或是在請求中將標籤傳遞給 API Gateway。若要根據標籤控制存取，請使用 `apigateway:ResourceTag/key-name`、`aws:RequestTag/key-name` 或 `aws:TagKeys` 條件金鑰，在原則的[條件元素](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_elements_condition.html)中，提供標籤資訊。如需標記 API Gateway 資源的詳細資訊，請參閱[使用標籤來控制對 API Gateway REST API 資源的存取](apigateway-tagging-iam-policy.md)。 若要了解身分型政策範例，以根據該資源上的標籤來限制存取資源，請參閱[使用標籤來控制對 API Gateway REST API 資源的存取](apigateway-tagging-iam-policy.md)。 ## API Gateway IAM 角色 [IAM 角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles.html)是您 AWS 帳戶中具有特定許可的實體。 ### 搭配 API Gateway 使用暫時登入資料 您可以搭配聯合使用暫時憑證、擔任 IAM 角色，或是擔任跨帳戶角色。您可以透過呼叫 [AssumeRole](https://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html) 或 [GetFederationToken](https://docs.aws.amazon.com/STS/latest/APIReference/API_GetFederationToken.html) 等 AWS STS API 操作來取得臨時安全登入資料。 API Gateway 支援使用臨時登入資料。 ### 服務連結角色 [服務連結角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-linked-role)可讓 AWS 服務存取其他服務中的資源，以代表您完成 動作。服務連結角色會顯示在您的 IAM 帳戶中，並由該服務所擁有。IAM 管理員可以檢視，但不能編輯服務連結角色的許可。 API Gateway 支援服務連結角色。如需關於建立或管理 API Gateway 服務連結角色的資訊，請參閱[使用 API Gateway 的服務連結角色](using-service-linked-roles.md)。 ### 服務角色 服務可代表您擔任[服務角色](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_terms-and-concepts.html#iam-term-service-role)。服務角色可讓服務存取其他服務中的資源，以代表您完成動作。服務角色會出現在您的 IAM 帳戶中，並由該帳戶擁有，因此管理員可以變更此角色的許可。不過，這樣可能會破壞此服務的功能。 API Gateway 支援服務角色。