ResourcePolicyStatement - Amazon Serverless Application Model
语法属性示例
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

ResourcePolicyStatement

为 API 的所有方法和路径配置资源策略。有关资源策略的更多信息，请参阅《API Gateway 开发者指南》中的 “使用 API Gateway 资源策略控制 API 的访问”。

语法

要在Amazon Serverless Application Model (Amazon SAM) 模板中声明此实体，请使用以下语法。

属性

AwsAccountBlacklist

要屏蔽的Amazon账户。

类型：字符串列表

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

AwsAccountWhitelist

允许的Amazon账户。有关此属性的示例用法，请参阅本页底部的示例。

类型：字符串列表

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

CustomStatements

适用于此 API 的自定义资源策略声明列表。有关此属性的示例用法，请参阅本页底部的示例。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IntrinsicVpcBlacklist

要屏蔽的虚拟私有云 (VPC) 列表，其中每个 VPC 都指定为引用，例如动态引用或Ref内部函数。有关此属性的示例用法，请参阅本页底部的示例。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IntrinsicVpcWhitelist

允许的 VPC 列表，其中每个 VPC 都指定为引用，例如动态引用或Ref内部函数。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IntrinsicVpceBlacklist

要屏蔽的 VPC 终端节点列表，其中每个 VPC 终端节点都指定为引用，例如动态引用或Ref内部函数。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IntrinsicVpceWhitelist

允许的 VPC 终端节点列表，其中每个 VPC 终端节点都指定为引用，例如动态引用或Ref内部函数。有关此属性的示例用法，请参阅本页底部的示例。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IpRangeBlacklist

要屏蔽的 IP 地址或地址范围。有关此属性的示例用法，请参阅本页底部的示例。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

IpRangeWhitelist

允许的 IP 地址或地址范围。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

SourceVpcBlacklist

要屏蔽的源 VPC 或 VPC 终端节点。源 VPC 名称必须以开头"vpc-"，源 VPC 终端节点名称必须以开头"vpce-"。有关此属性的示例用法，请参阅本页底部的示例。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

SourceVpcWhitelist

允许的源 VPC 或 VPC 终端节点。源 VPC 名称必须以开头"vpc-"，源 VPC 终端节点名称必须以开头"vpce-"。

类型：清单

必需：否

Amazon CloudFormation兼容性：此属性是独有的Amazon SAM，没有Amazon CloudFormation等效属性。

示例

资源策略示例

以下示例屏蔽了两个 IP 地址和一个源 VPC，并允许一个Amazon账户。

YAML

Auth:
  ResourcePolicy:
    CustomStatements: [{
                         "Effect": "Allow",
                         "Principal": "*",
                         "Action": "execute-api:Invoke",
                         "Resource": "execute-api:/Prod/GET/pets",
                         "Condition": {
                           "IpAddress": {
                             "aws:SourceIp": "1.2.3.4"
                           }
                         }
                       }]
    IpRangeBlacklist:
      - "10.20.30.40"
      - "1.2.3.4"
    SourceVpcBlacklist:
      - "vpce-1a2b3c4d"
    AwsAccountWhitelist:
      - "111122223333"
    IntrinsicVpcBlacklist:
      - "{{resolve:ssm:SomeVPCReference:1}}" 
      - !Ref MyVPC
    IntrinsicVpceWhitelist:
      - "{{resolve:ssm:SomeVPCEReference:1}}" 
      - !Ref MyVPCE