AWS App Runner下VPC内Web应用无法访问私有API问题求助

核心问题分析 #

你的API配置为仅通过VPC端点接收入站流量，这意味着只有来自VPC内部（含VPN接入的流量）的请求才能到达API。当Web应用设为公开入站时，即便启用了VPC连接器，请求仍无法正确触达API，根源在于以下几个配置疏漏：

可能的错误点及修复方法 #

1. Web应用未使用API的VPC端点私有域名 #

API启用VPC端点后，其公开域名已无法访问（因为你关闭了公开入站）。如果Web应用仍在调用API的公开域名，请求会直接被拒绝。

• 修复：在Web应用的配置中，将API地址替换为API的VPC端点私有DNS名称（可在AWS控制台的VPC端点详情中获取）。

2. API的VPC端点安全组未允许Web应用VPC连接器的子网访问 #

Web应用通过VPC连接器出站时，流量的源IP属于VPC连接器所关联子网的IP范围。如果API的VPC端点安全组仅允许VPC内部（如VPN网段）的流量，而未包含VPC连接器子网的IP，请求会被安全组拦截。

• 修复：编辑API的VPC端点安全组，添加入站规则，允许来自Web应用所用VPC连接器的子网CIDR的流量（端口为API服务端口，如80/443）。

3. API的VPC端点策略未授权Web应用的访问 #

VPC端点默认策略可能仅允许VPC内的主账户资源访问，或者未明确授权Web应用的App Runner服务角色。

• 修复：更新API的VPC端点策略，添加允许Web应用的App Runner服务角色（或VPC连接器子网的IP）访问API的规则。示例策略（根据实际情况调整）：

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": "*",
      "Action": "apprunner:Invoke",
      "Resource": "arn:aws:apprunner:区域:账户ID:service/API服务名称/*",
      "Condition": {
        "StringEquals": {
          "aws:SourceVpc": "你的VPC ID"
        }
      }
    }
  ]
}

4. Web应用的VPC连接器配置不完整 #

确保Web应用的VPC连接器已正确关联到与API VPC端点相同的VPC，且子网、安全组配置正确：

• 检查VPC连接器是否关联了能访问API VPC端点的子网；
• 确认Web应用的VPC连接器安全组允许出站到API的端口。

验证步骤 #

1. 在Web应用的环境变量中确认API地址为VPC端点私有DNS；
2. 检查API的VPC端点安全组入站规则，是否包含Web应用VPC连接器的子网CIDR；
3. 通过AWS CloudWatch查看Web应用的日志，确认请求是否到达API（或是否有连接超时/拒绝的错误）；
4. 在VPC内的EC2实例上测试调用API的VPC端点，验证API本身是否正常响应。

内容的提问来源于stack exchange，提问作者Bruno Mello