ResourcePolicyStatement - Amazon Serverless Application Model
语法属性示例
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅中国的 Amazon Web Services 服务入门。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

ResourcePolicyStatement

为 API 的所有方法和路径配置资源策略。有关资源策略的更多信息，请参阅使用 API Gateway 资源策略控制对 API 的访问中的API Gateway 开发人员指南.

语法

要在您的Amazon Serverless Application Model(Amazon SAM) 模板，请使用以下语法。

属性

AwsAccountBlacklist

这些区域有：Amazon要阻止的账户。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

AwsAccountWhitelist

这些区域有：Amazon允许的账户。有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

CustomStatements

要应用于此 API 的自定义资源策略声明的列表。有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IntrinsicVpcBlacklist

要阻止的虚拟私有云 (VPC) 列表，其中每个 VPC 都被指定为参考，例如动态参考或者Ref 内部函数. 有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IntrinsicVpcWhitelist

允许的 VPC 列表，其中每个 VPC 都被指定为参考，例如动态参考或者Ref 内部函数.

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IntrinsicVpceBlacklist

要阻止的 VPC 终端节点列表，其中每个 VPC 终端节点都被指定为参考，例如动态参考或者Ref 内部函数.

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IntrinsicVpceWhitelist

要允许的 VPC 终端节点列表，其中每个 VPC 终端节点都被指定为参考，例如动态参考或者Ref 内部函数. 有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IpRangeBlacklist

要阻止的 IP 地址或地址范围。有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

IpRangeWhitelist

允许的 IP 地址或地址范围。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

SourceVpcBlacklist

要阻止的源 VPC 或 VPC 终端节点。源 VPC 名称必须以"vpc-"并且源 VPC 终端节点名称必须以"vpce-". 有关此属性的示例使用，请参阅此页面底部的示例部分。

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

SourceVpcWhitelist

要允许的源 VPC 或 VPC 终端节点。源 VPC 名称必须以"vpc-"并且源 VPC 终端节点名称必须以"vpce-".

类型：List

必需：否

Amazon CloudFormation兼容性：该属性对是唯一的Amazon SAM没有Amazon CloudFormation等效项

示例

资源策略示例

以下示例阻止两个 IP 地址和一个源 VPC，并允许Amazonaccount.

YAML

Auth:
  ResourcePolicy:
    CustomStatements: [{
                         "Effect": "Allow",
                         "Principal": "*",
                         "Action": "execute-api:Invoke",
                         "Resource": "execute-api:/Prod/GET/pets",
                         "Condition": {
                           "IpAddress": {
                             "aws:SourceIp": "1.2.3.4"
                           }
                         }
                       }]
    IpRangeBlacklist:
      - "10.20.30.40"
      - "1.2.3.4"
    SourceVpcBlacklist:
      - "vpce-1a2b3c4d"
    AwsAccountWhitelist:
      - "111122223333"
    IntrinsicVpcBlacklist:
      - "{{resolve:ssm:SomeVPCReference:1}}" 
      - !Ref MyVPC
    IntrinsicVpceWhitelist:
      - "{{resolve:ssm:SomeVPCEReference:1}}" 
      - !Ref MyVPCE