如何通过AWS PrivateLink访问Route53 API？私有Lambda需调用该API

核心说明 #

Route53的公共API不支持通过AWS PrivateLink访问，其官方API端点仅提供公网访问方式。但可以通过以下两种合规方式实现私有Lambda的Route53 API调用需求：

方式1：基于NAT网关的私有子网部署 #

• 将Lambda部署在私有子网中，该子网的路由表配置默认路由（0.0.0.0/0）指向部署在公有子网的NAT网关
• NAT网关负责中转Lambda的出站HTTPS请求到公网，访问Route53 API
• 确保Lambda的执行角色拥有对应Route53权限（例如route53:ChangeResourceRecordSets、route53:ListHostedZones等）
• 安全组配置：允许Lambda私有子网向NAT网关发起443端口的出站请求，NAT网关所在公有子网允许向公网发起443端口请求

方式2：Route53 Resolver端点（仅适用于DNS查询操作） #

• 如果仅需查询Route53托管区域的DNS记录（而非修改资源），可配置Route53 Resolver出站端点
• 在VPC内创建Resolver出站端点并关联私有子网，通过该端点在AWS私有网络内完成Route53托管区域的DNS查询
• 此方式无需公网连接，完全在AWS内部私有链路中完成操作

关键限制 #

• 管理类Route53 API操作（如创建/修改记录、托管区域管理）仅能通过方式1实现，Resolver端点不支持这类API调用
• NAT网关会产生公网流量费用，但Lambda始终保持私有状态，无需分配公网IP

内容的提问来源于stack exchange，提问作者krzysztof_porwol