如何根据策略将IAM访问APIGateway的权限列入白名单

Question

我在ApiGateway中启用了一个方法，该方法具有授权类型：AWS_IAM。当我为IAM用户提供一个AccessKey和SecretKey，并在标题中使用编程访问策略时，这就可以工作了，但是这只是预期结果的一半。

是否有办法进一步扩展此授权，以便只允许具有特定API网关方法附加策略的IAM用户？

我最初的想法是在API网关上有一个资源策略来拒绝所有请求，然后将方法访问策略分配给特定IAM用户以覆盖该请求，但根据策略评估逻辑文档，任何具有明确拒绝的资源都会覆盖具有允许的资源。

是否可以将API网关方法仅限于具有方法允许策略（也称为“白名单”）的IAM用户？

Answer 1

您可以附加允许用户调用特定api方法的IAM策略。没有调用权限，用户无法调用api终结点。

为了进行测试，我创建了一个没有权限的用户，并收到以下错误。

{
    "Message": "User: arn:aws:iam::********1111:user/test-api-gateway-iam-auth is not authorized to perform: execute-api:Invoke on resource: arn:aws:execute-api:ap-southeast-2:********1111:b2r0m0gev9/test/GET/"
}

我已将以下策略附加到IAM用户。该策略允许用户调用特定的api方法。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "execute-api:Invoke"
            ],
            "Resource": [
                "arn:aws:execute-api:ap-southeast-2:********1111:xxx/test/GET/"
            ]
        }
    ]
}