从ECS Fargate调用AWS API Gateway返回403 Forbidden求助

在AWS中搭建API Gateway后，本地笔记本应用调用该网关无异常，但将应用部署到ECS Fargate后调用同一网关URL时返回403 Forbidden错误。已确认API Gateway已部署且阶段名称传递正确，收到的错误信息如下：

header([Server:"Server", Content-Type:"application/json", Content-Length:"24", Connection:"keep-alive", x-amzn-RequestId:"7e198xx8-5386-4xx7-axxf-a38cf78618b7", x-amzn-ErrorType:"ForbiddenException", x-amz-apigw-id:"cWxx5GSWXXcFuVg="])
{
    "message": "Forbidden"
}

使用的基础端点URL模板为：

https://{api-id}.execute-api.(region-id}.amazonaws.com/{stage}

尝试过Regional、Edge、Private等多种端点类型，均未成功，怀疑是URL使用或配置问题。

• 端点URL格式错误：你提供的URL模板存在语法错误，(region-id}应为{region-id}，括号不匹配。检查ECS任务中配置的实际API URL是否存在这类拼写错误——本地测试可能用了正确的URL，但部署到Fargate时环境变量替换出错，导致请求到无效地址触发403。

• 私有API（Private）的VPC访问配置缺失：如果使用Private端点类型，必须确保：

  • ECS所在VPC已创建API Gateway的VPC端点（com.amazonaws.{region}.execute-api）
  • VPC端点的安全组允许ECS任务所在安全组的443端口出站流量
  • API Gateway的资源策略明确允许来自ECS所在VPC的请求，示例策略：

    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": "*",
          "Action": "execute-api:Invoke",
          "Resource": "arn:aws:execute-api:{region}:{account-id}:{api-id}/{stage}/*",
          "Condition": {
            "StringEquals": {
              "aws:SourceVpc": "{vpc-id}"
            }
          }
        }
      ]
    }
    

• 资源策略限制了ECS的访问来源：检查API Gateway的资源策略，确认是否仅允许特定IP（如本地公网IP）访问，而ECS任务的公网/私网IP不在允许列表内。如果是Regional或Edge类型，需将ECS任务的IP范围（或NAT网关IP，若通过NAT访问公网）加入白名单。

• IAM权限不足：如果API Gateway启用了IAM授权（AWS_IAM认证），需确保ECS任务执行角色拥有execute-api:Invoke权限，且请求正确携带签名。可在任务角色的权限策略中添加：

  {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Effect": "Allow",
        "Action": "execute-api:Invoke",
        "Resource": "arn:aws:execute-api:{region}:{account-id}:{api-id}/{stage}/*"
      }
    ]
  }
  

• 端点类型与URL不匹配：不同端点类型的URL格式需严格对应：

  • Edge（CloudFront）：https://{api-id}.execute-api.{region}.amazonaws.com/{stage}（部分旧版可能带cloudfront.net后缀）
  • Regional：https://{api-id}.execute-api.{region}.amazonaws.com/{stage}
  • Private：https://{api-id}.execute-api.{region}.amazonaws.com/{stage}（仅VPC内可访问，需配合VPC端点）
    确认ECS中使用的URL与创建的端点类型完全匹配，避免用Regional URL访问Private API这类错误。

内容的提问来源于stack exchange，提问作者Bee Hive