同子网内AWS ECS Fargate通过私有API Gateway调用Lambda的配置疑问

是否必须新增VPC Endpoint？ #

是的，如果你要使用私有API Gateway让VPC内的ECS Fargate Service A访问，必须创建API Gateway的VPC接口端点。

原因在于：ECS服务之间通过Service Connect互通属于容器服务内部的服务发现机制，不需要依赖VPC端点；但私有API Gateway的访问逻辑不同——它的域名仅在VPC内部通过端点解析，没有VPC端点的话，VPC内的ECS实例无法解析私有API的域名，自然无法建立连接。

VPC Endpoint对应的API URL访问范围？ #

私有API Gateway的URL仅能在VPC内部访问，公网无法路由到该地址。

私有API的域名不会在公网DNS服务器上注册，只有VPC内的DNS会将其解析到VPC端点的私有IP，所以公网客户端既无法解析该域名，也无法通过IP直接访问（端点IP是VPC私有网段，公网不可达）。你还可以通过配置VPC端点的安全组，进一步限制只有Service A所在的子网能访问该端点，强化私有性。

内容的提问来源于stack exchange，提问作者Garret Wilson