如何在CDK中将API网关与s3集成

Question

文档在控制台中的操作非常清楚，https://docs.aws.amazon.com/apigateway/latest/developerguide/integrating-api-with-aws-services-s3.html，但在CDK中复制真的很痛苦。

我的问题是如何在CDK中创建一个以s3（中间没有lambda）为支持的RESTAPI，或者至少如何创建apigateway。AWS整合工作。

我试过很多方法，发现自己是在瞎编代码。我已经在restApi、lambda、sqs、dynamoDB、s3之间进行了多次集成，所有这些都非常简单。但直接将API网关与S3集成将让我大哭一场。

我需要restAPI将请求负载直接存储到S3存储桶中。

这是我已经尝试过的：

在RestApi中添加一个政策声明：

const apiResourcePolicy = new iam.PolicyDocument({
        statements: [
          new iam.PolicyStatement({
            effect: iam.Effect.ALLOW,
            actions: ['s3:Put*'],            
            resources: [bucket.bucketName],
            principals: [new ServicePrincipal('apigateway.amazonaws.com')]
          })          
        ]
      });

const api = new apigateway.RestApi(this, "dispatch-api", {
        restApiName: "my api name",
        description: "api description",
        policy: apiResourcePolicy        
      });

我认为这应该足以解决权限问题，但是当我将AWS集成添加到API时，像这样：

const getS3Integration = new apigateway.AwsIntegration({
        service: "s3",        
        path: bucket.bucketName,                               
      });

api.root.addMethod("PUT", getS3Integration, {
    requestValidator: requestValidator,
    requestModels: {"application/json": myModel},
  });

我得到：

1:41:11 PM | CREATE_FAILED        | AWS::ApiGateway::Method           | XXXXXXXXXXXXXXXX
Role ARN must be specified for AWS integrations (Service: AmazonApiGateway; Status Code: 400; Error Code: BadRequestException; Request ID: xxxxxxxxxxxxxxxxxxxxx; Proxy:
null)

我不知道如何指定角色ARN，我在文档中没有找到。也不知道是否需要将策略添加到restAPI。我试图在CDK中复制这个例子。

Answer 1

从您的描述中，我认为您没有为您的集成提供IAM角色。您提供的策略仅适用于RestApi，这是API的基于资源的策略。换句话说，它不适用于您的集成，而是指定谁可以执行您的API。如果您想公开您的API，通常不会使用它。

对于AWS集成，您应该使用集成选项为IAM角色提供S3权限。具体来说，通过凭据选项：

API网关承担的IAM角色。

CDK映射到的CloudFormation文档中有关于集成的更多详细信息凭证：

集成所需的凭据。要指定API网关承担的AWS标识和访问管理（IAM）角色，请指定该角色的亚马逊资源名称（ARN）。要要求从请求传递调用方的标识，请指定arn:aws:iam:：：user/。

若要对AWS Lambda（Lambda）函数使用基于资源的权限，请不要指定此属性。使用AWS::Lambda::权限资源允许API网关调用该函数。有关详细信息，请参阅AWS Lambda开发人员指南中的允许Amazon API网关调用Lambda函数。

Answer 2

在您链接的文档中(https://docs.aws.amazon.com/apigateway/latest/developerguide/integrating-api-with-aws-services-s3.html)，部分“设置API调用Amazon S3操作的IAM权限”，您需要使用的策略与您编码的策略完全不同。

如果应用于bucket，您的策略会说：如果请求来自服务“api网关”，则允许put:操作。这种方法适用于其他用例。

根据文档，您需要：

• 创建一个角色

政策（1）应该是显而易见的，文件中给出的（2）是：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "apigateway.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
} 

Answer 3

以下不是全套，但这应该会给你一些想法。我在SQS上做过类似的事情，那时我也哭了

    const bucket = new s3.Bucket(this, 'storage');

    const executeRole = new iam.Role(this, "role", {
      assumedBy: new iam.ServicePrincipal('apigateway.amazonaws.com'),
      path: "/service-role/"
    });

    bucket.grantReadWrite(executeRole);

    const api = new apigateway.RestApi(this, 's3api');

    const s3Integration = new apigateway.AwsIntegration({
      service: 's3',
      integrationHttpMethod: "PUT",
      path: "{bucket}",
      options : {
        credentialsRole: executeRole,
        // should have all kind of path mapping..        
      }
    })

    api.root.addResource("{folder}").addMethod("PUT", s3Integration, {
      methodResponses: [
        {
          statusCode: "200"
        }
      ]});
  }