在AWS CDK中配置私有REST API Gateway自引用资源策略遇循环依赖求解

核心问题是API ID需部署阶段才能确定，直接事后设置策略会触发循环依赖，以下是两种可靠的解决思路：

思路一：在LambdaRestApi构造时直接传入策略（推荐） #

利用CDK的**令牌(Token)**机制，动态构造API的ARN，无需提前知晓API ID。CDK会在部署阶段自动将令牌替换为实际的API ID，同时正确处理资源依赖顺序，从根源避免循环问题。

示例代码（TypeScript）：

import { Stack, Arn, Effect, EndpointType } from 'aws-cdk-lib';
import { LambdaRestApi } from 'aws-cdk-lib/aws-apigateway';
import { PolicyDocument, PolicyStatement, AnyPrincipal } from 'aws-cdk-lib/aws-iam';
import { Function } from 'aws-cdk-lib/aws-lambda';
import { Vpc, InterfaceVpcEndpoint } from 'aws-cdk-lib/aws-ec2';

export class PrivateApiStack extends Stack {
  constructor(scope: Construct, id: string, props?: StackProps) {
    super(scope, id, props);

    // 假设已提前创建好Lambda和VPC、VPC端点
    const myLambda = new Function(this, 'ApiHandlerLambda', {
      // 你的Lambda配置
    });
    const myVpc = Vpc.fromLookup(this, 'ExistingVpc', { vpcId: 'vpc-xxxxxx' });
    const myVpcEndpoint = InterfaceVpcEndpoint.fromInterfaceVpcEndpointAttributes(this, 'ApiVpcEndpoint', {
      vpcEndpointId: 'vpce-xxxxxx',
    });

    // 创建私有API并直接绑定自引用策略
    const api = new LambdaRestApi(this, 'PrivateRestApi', {
      handler: myLambda,
      endpointConfiguration: {
        types: [EndpointType.PRIVATE],
        vpcEndpoints: [myVpcEndpoint],
      },
      // 直接传入策略文档
      policy: new PolicyDocument({
        statements: [
          new PolicyStatement({
            effect: Effect.ALLOW,
            principals: [new AnyPrincipal()],
            actions: ['execute-api:Invoke'],
            // 用Arn.format动态生成包含API ID的资源ARN
            resources: [
              Arn.format(
                {
                  service: 'execute-api',
                  resource: api.restApiId, // 这是CDK令牌，部署时自动替换为实际ID
                  resourceName: '*/*/*', // 匹配所有路径、方法、阶段
                },
                this
              ),
            ],
            // 私有API建议添加VPC来源限制，进一步加固安全
            conditions: {
              'StringEquals': {
                'aws:SourceVpc': myVpc.vpcId,
              },
            },
          }),
        ],
      }),
    });
  }
}

思路二：用Lazy值延迟策略解析（适合特殊场景） #

如果必须通过L1资源的setPolicy方法设置策略，可以使用CDK的Lazy.string延迟ARN的解析逻辑，避免提前触发依赖检查。

示例代码：

import { Lazy } from 'aws-cdk-lib';
import { CfnRestApi } from 'aws-cdk-lib/aws-apigateway';

// 先创建LambdaRestApi
const api = new LambdaRestApi(this, 'PrivateRestApi', {
  handler: myLambda,
  endpointConfiguration: { types: [EndpointType.PRIVATE] },
});

// 转换为L1的CfnRestApi资源
const cfnApi = api.node.defaultChild as CfnRestApi;

// 用Lazy值构造策略文档，延迟到部署阶段解析API ID
cfnApi.policy = Lazy.string({
  produce: () => {
    const policyDoc = new PolicyDocument({
      statements: [
        new PolicyStatement({
          effect: Effect.ALLOW,
          principals: [new AnyPrincipal()],
          actions: ['execute-api:Invoke'],
          resources: [
            Arn.format(
              {
                service: 'execute-api',
                resource: api.restApiId,
                resourceName: '*/*/*',
              },
              this
            ),
          ],
          conditions: { 'StringEquals': { 'aws:SourceVpc': myVpc.vpcId } },
        }),
      ],
    });
    return JSON.stringify(policyDoc.toJSON());
  },
});

关键注意点 #

• 禁止手动拼接ARN字符串，必须使用Arn.format或CDK提供的令牌机制，否则会出现占位符无法替换的问题。
• 私有API的资源策略建议配合aws:SourceVpc条件，确保只有指定VPC内的请求能访问，避免意外暴露。

内容的提问来源于stack exchange，提问作者Nicklas Karlsson