如何实现区域型HTTP API Gateway访问私有API Gateway？

针对你遇到的公网HTTP API Gateway无法直接集成私有API Gateway的问题，以下是几种经过验证的解决思路：

1. 私有ALB中转 + VPC Link #

• 在私有API Gateway所在的VPC内部署私有ALB，将ALB的目标组指向私有API Gateway的端点（需确保ALB所在子网能访问私有API Gateway的VPC端点或内部地址）。
• 为公网HTTP API Gateway创建VPC Link，关联到这个私有ALB。
• 配置ALB的安全组，允许VPC Link的安全组发起的请求；同时更新私有API Gateway的资源策略，允许ALB的源IP或角色访问其API资源。

2. Lambda中间转发层 #

• 创建部署在目标VPC内的Lambda函数（或通过VPC端点访问私有API Gateway的Lambda），编写逻辑透传公网API Gateway的请求到私有API Gateway，并将响应返回。
• 公网HTTP API Gateway集成该Lambda函数，配置请求/响应映射模板确保参数、头信息的正确传递。
• 给Lambda配置足够的IAM权限，允许其调用私有API Gateway的资源，同时处理超时、重试等异常场景。

3. 私有API Gateway资源策略授权 #

• 确保私有API Gateway已启用VPC端点，为公网HTTP API Gateway的VPC Link所在VPC配置访问权限。
• 修改私有API Gateway的资源策略，添加对公网API Gateway执行角色或VPC Link所属IP段的访问允许规则，让公网网关能通过VPC Link直接访问私有API的端点。

为什么直接集成不被支持 #

AWS的私有API Gateway设计为仅向VPC内部或授权的私有资源开放端点，公网API Gateway属于VPC外部的公网资源，默认不在私有API的访问允许范围内，因此直接URL或ALB集成会被拦截，必须通过中转或显式授权的方式打通访问链路。

内容的提问来源于stack exchange，提问作者Yuri