如何在AWS API Gateway YAML规范中集成Lambda URI及Terraform管理

问题1：直接引用specification.yaml能否自动生成API Gateway配置？ #

可以，但要明确这是基于OpenAPI/Swagger Spec导入创建API Gateway资源，而非自动生成拆分后的Terraform资源（比如单独的aws_api_gateway_resource、aws_api_gateway_method）。

你的当前配置逻辑是对的，但可以简化：如果YAML文件不需要变量替换，无需用template_file，直接用file函数读取即可：

resource "aws_api_gateway_rest_api" "api-gateway" {
  name             = "name"
  api_key_source   = "HEADER"
  body             = file("${var.path_api}/specification.yaml") # 假设var.path_api是目录路径
  endpoint_configuration {
    types = ["REGIONAL"]
  }
}

需要注意：控制台导出的spec.yaml必须是API Gateway兼容的Swagger/OpenAPI格式，通常导出的文件已经满足要求，但如果包含控制台自定义的集成配置，可能需要调整后再导入。

问题2：如何添加Lambda集成并通过Terraform管理？ #

Lambda集成需要在OpenAPI Spec中通过x-amazon-apigateway-integration扩展字段定义，同时配合Terraform配置Lambda权限和变量替换，具体步骤如下：

1. 先在Terraform中定义Lambda函数及调用权限 #

# 定义Lambda函数
resource "aws_lambda_function" "my_lambda" {
  filename      = "lambda.zip"
  function_name = "my-api-handler"
  role          = aws_iam_role.lambda_role.arn
  handler       = "index.handler"
  runtime       = "nodejs20.x"
}

# 给API Gateway授予调用Lambda的权限
resource "aws_lambda_permission" "api_gateway_invoke" {
  statement_id  = "AllowAPIGatewayInvoke"
  action        = "lambda:InvokeFunction"
  function_name = aws_lambda_function.my_lambda.function_name
  principal     = "apigateway.amazonaws.com"
  # 限制权限到当前API，避免过度授权
  source_arn = "${aws_api_gateway_rest_api.api-gateway.execution_arn}/*/*"
}

# API Gateway执行角色（如果需要调用其他AWS资源则需要）
resource "aws_iam_role" "api_gateway_role" {
  name = "api-gateway-execution-role"
  assume_role_policy = jsonencode({
    Version = "2012-10-17"
    Statement = [
      {
        Action = "sts:AssumeRole"
        Effect = "Allow"
        Principal = {
          Service = "apigateway.amazonaws.com"
        }
      }
    ]
  })
}

resource "aws_iam_role_policy_attachment" "api_gateway_lambda_access" {
  role       = aws_iam_role.api_gateway_role.name
  policy_arn = "arn:aws:iam::aws:policy/service-role/AmazonAPIGatewayInvokeFullAccess"
}

2. 修改specification.yaml添加Lambda集成 #

在对应路径和方法下添加x-amazon-apigateway-integration配置，使用变量占位符方便Terraform替换：

paths:
  /my-endpoint:
    get:
      summary: 通过Lambda获取数据
      responses:
        '200':
          description: 成功响应
          content:
            application/json:
              schema:
                type: object
                properties:
                  message:
                    type: string
      # Lambda集成配置
      x-amazon-apigateway-integration:
        type: aws_proxy # Lambda代理集成，推荐使用
        httpMethod: POST # Lambda集成固定使用POST
        uri: "arn:aws:apigateway:${aws_region}:lambda:path/2015-03-31/functions/${lambda_arn}/invocations"
        passthroughBehavior: when_no_match
        credentials: "${api_gateway_role_arn}" # 填上面定义的API Gateway执行角色ARN

3. 在Terraform中用templatefile替换变量 #

使用Terraform的templatefile函数（0.12+推荐）传递变量到YAML：

data "templatefile" "swagger_spec" {
  template = file("${var.path_api}/specification.yaml")
  vars = {
    aws_region          = var.aws_region
    lambda_arn          = aws_lambda_function.my_lambda.arn
    api_gateway_role_arn = aws_iam_role.api_gateway_role.arn
  }
}

resource "aws_api_gateway_rest_api" "api-gateway" {
  name             = "name"
  api_key_source   = "HEADER"
  body             = data.templatefile.swagger_spec.rendered
  endpoint_configuration {
    types = ["REGIONAL"]
  }
}

最佳实践 #

• 优先使用templatefile替代旧的template_file数据源，语法更简洁且支持类型检查。
• Lambda权限配置时必须添加source_arn限制，避免任意API Gateway调用你的Lambda。
• 所有动态值（ARN、区域）都通过Terraform变量传递，不要硬编码在YAML中，保证多环境一致性。
• 保持API定义单一来源：所有API路径、方法、集成都在spec.yaml中定义，Terraform负责基础设施的编排和变量替换。
• 如果从控制台导出的spec已有集成，需将硬编码的ARN替换为Terraform变量，避免环境不匹配。

内容的提问来源于stack exchange，提问作者user27008283