Comment activer l’authentification IAM pour les API REST API Gateway ?

Brève description

Utilisez la console API Gateway pour activer l'authentification IAM d’une méthode API Gateway. Puis, utilisez des politiques basées sur l'identité et les ressources pour désigner vos autorisations d'API.

Pour plus d'informations, consultez la section Contrôler et gérer l'accès aux API REST dans API Gateway.

Résolution

Activer l’authentification IAM pour votre API REST

Procédez comme suit :

1. Ouvrez la console API Gateway.
2. Dans le volet de navigation, sélectionnez API, puis votre API.
3. Dans Ressources, choisissez la méthode API Gateway pour laquelle vous souhaitez activer l'authentification IAM, telle que GET ou POST.
4. Dans Exécution de la méthode, sélectionnez Demande de méthode.
5. Dans Paramètres, dans ** Autorisation**, sélectionnez Modifier.
6. Choisissez AWS_IAM dans la liste déroulante, puis Mettre à jour.
7. Répétez les étapes 2 à 4 pour chaque méthode API Gateway pour laquelle vous souhaitez activer l’authentification IAM.
8. Déployez votre API.
9. Dans Éditeur d’étapes, notez l'URL d'appel afin de pouvoir tester les paramètres d'authentification.

Pour plus d'informations, consultez les sections Configurer une méthode à l'aide de la console API Gateway et Obtention d’une URL d’invocation d’API.

Octroyer une autorisation d’accès à l’API à un groupe d’utilisateurs IAM

Procédez comme suit :

1. Déterminez les autorisations que vous souhaitez accorder aux utilisateurs de l’API. Pour plus d’informations, consultez la section Contrôler l’accès à une API REST avec des autorisations IAM.
2. Créez une politique IAM qui inclut les autorisations requises. Pour tester les paramètres d'authentification, vous devez autoriser les autorisations d'invocation. Pour des exemples, consultez la documentation suivante :
   Contrôler l’accès pour invoquer une API
   Exemples de politiques IAM pour les autorisations d’exécution d’API
   Exemples de politiques basées sur l’identité Amazon API Gateway
3. Attachez la politique à un groupe IAM existant. Vous pouvez également attacher la politique lorsque vous créez un nouveau groupe IAM.

Remarque : Il est recommandé d’accorder l’accès au niveau du groupe IAM.

(Facultatif) Configurer une politique de ressources API Gateway

Vous pouvez utiliser les politiques basées sur les ressources API Gateway avec les politiques IAM pour gérer l'accès à votre API. Pour plus d’informations, consultez les sections Politique de ressources et d’authentification IAM et Politiques basées sur l’identité et politiques basées sur les ressources.

Important : Si vous refusez l'accès à votre API dans le cadre d'une politique et que vous autorisez l'accès dans l'autre politique, l'accès est refusé. Pour plus d’informations, consultez la section Tableaux des résultats d’évaluation de politiques.

Envoyer une requête pour tester les paramètres d’authentification

Utilisez l'application Postman pour envoyer une requête à votre ressource API. Utilisez la même méthode API Gateway pour laquelle vous avez activé l'authentification IAM.

Pour l'URL de requête, saisissez l'URL d'invocation de votre API. Si vous avez activé l’authentification IAM sur une méthode pour une ressource d’API spécifique, ajoutez le nom de la ressource à la fin de l’URL d’invocation. Par exemple, saisissez https://restApiId.execute-api.region.amazonaws.com/stageName/resourceName.

Une requête authentifiée renvoie un code de réponse « 200 OK ». Une requête non autorisée renvoie le message « Jeton d’authentification manquant » et un code de réponse « 403 Forbidden ».

Remarque : Vous pouvez également utiliser l'outil de processus de signature Signature Version 4 pour authentifier manuellement les requêtes envoyées à API Gateway.

Informations connexes

Comment les politiques de ressources API Gateway affectent le flux de travail d’autorisation

Gérer les clés d'accès pour les utilisateurs IAM