在PaaS服务中何时使用AWS子网？API Gateway架构场景咨询

核心参考依据 #

• AWS Well-Architected Framework（安全支柱）：明确了数据保护的分层防御策略，既认可IAM作为身份访问控制的核心手段，也将网络隔离列为深度防御的补充项。针对DynamoDB这类托管服务，框架会根据数据敏感度区分场景：高敏感数据（如PII、金融数据）建议结合VPC端点+私有子网做网络隔离，普通非敏感数据可依赖IAM细粒度权限控制+DynamoDB访问策略。
• DynamoDB官方最佳实践：专门对比了IAM与VPC隔离的差异：

  IAM是基于身份的精准控制，可限制特定实体（如Lambda角色）的访问范围，细化到表级别、操作类型；VPC端点是网络层面的隔离，确保DynamoDB访问流量完全在AWS私有网络内流转，避免公网暴露。二者是互补而非互斥的安全控制手段。

• AWS Security Hub合规控制项：如果项目需满足PCI-DSS、NIST等合规标准，Security Hub会明确要求网络隔离+IAM双重控制，此时需优先贴合合规需求。

兼顾成本与安全的决策思路 #

• 普通业务数据场景：仅通过IAM限制Lambda的DynamoDB权限即可（比如给Lambda角色分配对应表的dynamodb:GetItem/dynamodb:PutItem等最小必要权限，添加拒绝公网访问的IAM条件），无需额外成本，完全能满足安全需求。
• 高敏感/合规要求场景：必须结合VPC端点将DynamoDB访问限制在私有子网内，同时配合IAM权限控制做双重防护。此时成本增加有限，且符合安全合规要求。
• 验证性测试：可先针对测试表配置VPC端点，验证Lambda在私有子网内的访问功能，再对比仅用IAM方案的成本差异，评估是否在可接受范围内。

内容的提问来源于stack exchange，提问作者Arlo Cadensky