amazon-web-services - 限制对 Cloudform 中的 VPC 对 API 网关端点的访问

Question

我正在尝试将对 API 网关端点的访问限制为来 self 的 VPC 的请求。有 API 网关资源策略的示例，甚至 RestApi 资源上的策略属性，但当 API 尚未创建时，我不知道如何编写需要 API ID 的策略。我有一个基于 AWS 文档的示例来说明我对堆栈的理解:

MyRestApi:
Type: 'AWS::ApiGateway::RestApi'
Properties:
  Name: My Great API
  Policy:
    Version: 2012-10-17
    Statement:
      - Effect: Allow
        Principal: '*'
        Action: execute-api:Invoke
        Resource:
          Fn::Join:
            - - ''
              - 'arn:aws:execute-api:'
              - Ref: region
              - ':'
              - Ref: accountId
              - ':'
              - Ref: MyRestApi
      - Effect: Deny
        Principal: '*'
        Action: execute-api:Invoke
        Resource:
          Fn::Join:
            - - ''
              - 'arn:aws:execute-api:'
              - Ref: Region
              - ':'
              - Ref: AccountId
              - ':'
              - Ref: MyRestApi
        Condition:
          StringNotEquals:
            "aws:SourceVpc":
              Ref: VpcId

关键在于，当策略仍在创建时，我无法在策略中引用 MyRestApi 。我确信我不是唯一一个想要这样做的人......我宁愿认为这是一个常见问题，所以很可能已经有一个我还没有找到的答案。

感谢您的帮助，

斯特凡

PS:我使用的文档是https://docs.aws.amazon.com/de_de/AWSCloudFormation/latest/UserGuide/aws-resource-apigateway-restapi.html#cfn-apigateway-restapi-policy和 https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-resource-policies-examples.html

Answer 1

根据AWS documentation由于此问题，该策略支持 Resource 的特殊语法。

   "Resource": [
     "execute-api:/stage/method/path"
   ]

在评论中，他们称之为:

// simplified format supported here because apiId is not known yet and partition/region/account can derived at import time