如何配置IAM策略允许用户在API Gateway中运行测试且不修改资源？

你可以通过以下IAM策略实现需求：仅授予用户执行API Gateway测试调用的权限，同时明确禁止任何资源修改操作，搭配必要的只读权限确保测试流程能正常进行。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "apigateway:TestInvokeMethod",
                "apigateway:Get*",
                "apigateway:List*"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Deny",
            "Action": [
                "apigateway:Create*",
                "apigateway:Update*",
                "apigateway:Delete*",
                "apigateway:Put*",
                "apigateway:Patch*"
            ],
            "Resource": "*"
        }
    ]
}

策略说明： #

• 允许的核心动作：
  • apigateway:TestInvokeMethod：这是执行API Gateway方法测试调用的专属权限，是实现测试需求的核心。
  • apigateway:Get* 和 apigateway:List*：授予只读权限，让用户能查看API的结构、方法等元数据，否则无法定位到需要测试的具体方法。
• 拒绝的修改动作：
  • 明确拒绝所有以Create、Update、Delete、Put、Patch开头的API Gateway操作，彻底禁止任何资源修改行为。
• 资源范围：示例中使用*表示所有API Gateway资源，你可以根据实际需求替换为具体的API ARN（比如arn:aws:apigateway:us-east-1::/restapis/{api-id}/...）来缩小权限范围。

内容的提问来源于stack exchange，提问作者Johnny Bravo