如何控制對AWS API Gateway Endpoint的訪問

Question

我有幾個API網關“方法”（端點），我只想提供給具有特定IAM角色（策略）的用戶使用。 我已經嘗試了我能想到的所有方法。

基本上...我要做的就是找到一種方法（通過標頭）將訪問令牌傳遞到API網關，並弄清楚訪問令牌屬於哪個角色，然后讓API網關根據附加的策略進行授權工作扮演那個角色。 我離基地遠嗎？

Answer 1

您需要設置授權給AWS_IAM在方法請求 > 授權設置 ，並通過Authorization調用您的API方法時HTTP請求頭。

Authorization標頭要求您為已簽名的請求計算數字簽名。

簽署您的要求

該參考將指導您完成為已簽名請求計算數字簽名所需的步驟。

如果您只想使用Postman測試您的API，可以通過選擇Authorization選項卡，然后為授權類型選擇AWS Signature來完成。 在AccessKey輸入字段中輸入您的AWS IAM用戶的訪問密鑰ID，並在SecretKey中輸入您的IAM用戶密鑰，指定一個與調用URL中指定的區域匹配的適當AWS區域 。 在服務名稱中輸入execute-api 。

這應該構造類似於以下內容的標頭：

POST /prod/yourapi HTTP/1.1
Host: XXXXXXXXXX.execute-api.us-east-1.amazonaws.com
Content-Type: application/json
X-Amz-Date: 20170302T080546Z
Authorization: AWS4-HMAC-SHA256 Credential=YOURACCESSKEY/20170302/us-east-1/execute-api/aws4_request, SignedHeaders=content-length;content-type;host;x-amz-date, Signature=000000000000000000000000000000000000000000000000000000
Cache-Control: no-cache