在 SCP(AWS 服务控制策略)中实现该限制,可以在策略 JSON 中添加如下条件:
{ "Sid": "RestrictAPIAccessToCompanyIPs", "Effect": "Deny", "Action": [ "execute-api:Invoke" ], "Resource": [ "*" ], "Condition": { "NotIpAddress": { "aws:SourceIp": [ "10.0.0.1/32", "10.0.0.2/32" ] } } }
其中,Condition 的 NotIpAddress 指定了不符合条件的 IP 列表,aws:SourceIp 指定了请求发起方的 IP 地址。这里的 IP 地址需要根据公司实际情况进行替换。
如果需要允许特定的 API 调用,可以将 Resource 的值替换成对应 API 的 ARN。