API 호출을 위한 액세스 제어

이 섹션에서는 IAM 권한을 사용하여 API에 대한 액세스를 제어하는 권한 모델에 대해 알아봅니다. 템플릿 IAM 정책 설명과 정책 설명 참조를 보여줍니다. 정책 설명 참조에는 API 실행 서비스와 관련된 Action 및 Resource 필드의 형식도 포함되어 있습니다. 이러한 참조를 사용하여 IAM 정책 설명을 생성합니다. IAM 정책 설명을 생성할 때 API Gateway 리소스 정책이 권한 부여 워크플로에 미치는 영향을 고려해야 할 수 있습니다. 자세한 내용은 API Gateway 리소스 정책이 권한 부여 워크플로우에 미치는 영향 단원을 참조하십시오.

프라이빗 API의 경우 API Gateway 리소스 정책과 VPC 종단점 정책을 조합하여 사용해야 합니다. 자세한 정보는 다음 주제를 참조하세요.

IAM 정책을 사용하여 API Gateway API 메서드를 호출할 수 있는 사용자 제어

IAM 권한을 사용하여 배포된 API를 호출할 수 있는 사용자와 호출할 수 없는 사용자를 제어하려면 필요한 권한을 사용하여 IAM 정책 문서를 생성합니다. 그런 정책 문서에 대한 템플릿은 다음과 같습니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Permission",
      "Action": [
        "execute-api:Execution-operation"           
      ],
      "Resource": [
        "arn:aws:execute-api:region:account-id:api-id/stage/METHOD_HTTP_VERB/Resource-path"
      ]
    }
  ]
} 

여기서 포함된 권한을 부여할지 취소할지 여부에 따라 Permission은 Allow 또는 Deny로 대체됩니다. Execution-operation은 API 실행 서비스에서 지원되는 작업으로 대체됩니다. METHOD_HTTP_VERB는 지정된 리소스에서 지원되는 HTTP 동사를 나타냅니다. Resource-path는 해당 METHOD_HTTP_VERB를 지원하는 배포된 API Resource 인스턴스의 URL 경로에 대한 자리 표시자입니다. 자세한 내용은 API Gateway에서 API 실행을 위한 IAM 정책의 설명 참조 단원을 참조하십시오.

예를 들어 사용자에게 지정된 API 노출 반려 동물 목록을 볼 수 있는 권한을 부여하고, 목록에 반려 동물을 추가할 수 있는 권한을 거부하려면 IAM 정책에 다음 명령문을 포함하세요.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"           
      ],
      "Resource": [
        "arn:aws:execute-api:us-east-1:account-id:api-id/*/GET/pets"
      ]
    },
    {
      "Effect": "Deny",
      "Action": [
        "execute-api:Invoke"           
      ],
      "Resource": [
        "arn:aws:execute-api:us-east-1:account-id:api-id/*/POST/pets"
      ]
    }
  ]
} 

사용자에게 GET /pets/{petId}로 구성된 API를 통해 공개된 특정 반려 동물을 볼 수 있는 권한을 부여하려면, IAM 정책에 다음 명령문을 포함합니다.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:Invoke"           
      ],
      "Resource": [
        "arn:aws:execute-api:us-east-1:account-id:api-id/*/GET/pets/a1b2"
      ]
    }
  ]
}

API Gateway에서 API 실행을 위한 IAM 정책의 설명 참조

다음은 API 실행을 위한 액세스 권한에 대한 IAM 정책 설명의 작업 및 리소스 형식입니다.

API Gateway의 API 실행 권한 작업 형식

API 실행 Action 표현식의 일반적인 형식은 다음과 같습니다.

execute-api:action

여기서 작업은 사용 가능한 API 실행 작업입니다.

API Gateway의 API 실행 권한 리소스 형식

API 실행 Resource 표현식의 일반적인 형식은 다음과 같습니다.

arn:aws:execute-api:region:account-id:api-id/stage-name/HTTP-VERB/resource-path-specifier

여기서 각 항목은 다음과 같습니다.

다음은 리소스 표현식의 몇 가지 예입니다.

자세한 내용은 API Gateway Amazon 리소스 이름(ARN) 참조을 참조하십시오.