从Salesforce调用AWS API Gateway的身份验证最佳实践咨询

核心问题解答：单API的API密钥+使用计划是否安全可行？ #

完全可行，安全性也能匹配你的需求。AWS文档提到的「持有一个API的密钥可访问计划内所有API」的风险，在你的使用计划仅包含单个API的情况下完全不存在。只要做好以下几点，这个方案足够可靠：

• 严格管控SFDC侧的API密钥存储，用SFDC的加密存储机制（比如自定义设置的加密字段、命名凭证）保存密钥，避免明文泄露
• 定期轮换API密钥，配合SFDC侧的密钥更新流程，降低密钥泄露后的风险
• 在API Gateway开启请求验证，确保请求携带合法的x-api-key请求头

其他可选方案（适配你的需求场景） #

1. AWS IAM角色联合SFDC OAuth（进阶推荐） #

虽然SFDC在AWS外部，但可以通过以下方式实现基于IAM的身份验证：

• 在SFDC中配置OAuth 2.0客户端，让已登录的SFDC代理通过STS AssumeRoleWithWebIdentity API，以SFDC用户身份换取AWS临时IAM凭证
• 在API Gateway配置IAM授权，要求请求携带有效的AWS签名（由临时凭证生成）
• 优势：无需管理静态API密钥，凭证自动过期，且直接关联SFDC的登录状态（只有已登录用户能获取临时凭证）

2. 自定义签名验证（灵活但需开发） #

• 在SFDC侧，让已登录代理的请求携带基于SFDC用户会话信息生成的签名（比如用SFDC会话ID+请求参数做哈希）
• 在API Gateway配置Lambda授权器，验证签名合法性的同时，调用SFDC API校验会话是否有效
• 优势：完全自定义验证逻辑，直接绑定SFDC登录状态，不依赖AWS密钥体系

3. IP白名单+动态更新（适配SFDC IP变更） #

如果倾向IP策略，可以通过自动化流程解决IP范围变更问题：

• 定期调用SFDC官方接口获取最新信任IP范围列表
• 用AWS Lambda+CloudWatch Events自动更新API Gateway的资源策略，将最新SFDC IP加入白名单
• 优势：无需修改SFDC侧请求逻辑，纯AWS侧自动化维护

方案选型建议 #

• 快速落地选API密钥+使用计划，开发成本最低，做好密钥管理即可满足需求
• 追求更高安全性和自动化选IAM角色联合SFDC OAuth，完全基于临时凭证，规避静态密钥风险
• 需要强绑定SFDC登录状态选自定义签名验证，灵活性最高但需额外开发

内容的提问来源于stack exchange，提问作者AylaWinters