如何实现AWS WAF前置防护API Gateway的HTTP API？

一、实现WAF前置的可行架构 #

• CloudFront + WAF 前置HTTP API
  这是目前最直接的实现方式，完全满足WAF在HTTP API之前拦截流量的需求：
  1. 创建CloudFront分配，将源设置为你的HTTP API域名（需启用HTTPS，保障CloudFront与API Gateway的通信安全）。
  2. 为该CloudFront分配关联AWS WAF Web ACL，所有入站流量会先经过WAF过滤，再转发至HTTP API。
  3. 若使用自定义域名，将DNS解析指向CloudFront分配域名，而非直接指向HTTP API。

二、替代防护方案 #

• HTTP API内置防护配置
  • 配置资源策略：限制仅允许特定IP段、IAM角色或CloudFront分配访问HTTP API，直接拦截非授权来源流量。
  • 启用速率限制：在HTTP API阶段设置速率规则，防范暴力攻击或流量过载。
  • 配置请求验证：对请求的参数、头部、负载格式做校验，拒绝不符合规范的请求。
• Lambda@Edge 补充防护
  配合CloudFront使用Lambda@Edge，在请求到达CloudFront时执行自定义逻辑，比如额外IP过滤、请求签名验证等，作为WAF的补充防护手段。

三、关于ALB方案的说明 #

你之前尝试的ALB+目标组集成HTTP API的方案，确实是将ALB置于API Gateway之后，仅能过滤从ALB到API Gateway的流量，无法拦截直接访问API Gateway的请求，因此不适合作为前置防护方案。

内容的提问来源于stack exchange，提问作者Kin.Yip