AWS-CN服务通过API Gateway授权AWS分区账号遇IAM策略配置问题求助

方案1：API密钥+自定义Lambda授权方 #

这是绕开跨分区IAM ARN验证问题的轻量灵活方案：

• 在AWS-CN的API Gateway里启用API密钥认证，给全球区客户端分配专属密钥。
• 在AWS-CN部署一个Lambda函数作为自定义授权方，核心逻辑包括：
  • 校验请求头里的API密钥有效性（可将密钥存储在Secrets Manager中）
  • 支持全球区客户端用自身IAM角色生成的临时令牌，Lambda调用CN区STS的GetCallerIdentity接口验证令牌所属的全球账号身份（需给Lambda配置调用STS的权限）
• 将API Gateway的方法请求绑定该自定义授权方，仅放行验证通过的请求。

方案2：私有API+跨分区网络打通（企业级场景） #

如果有私有网络访问需求，直接通过网络层面控制：

• 建立AWS-CN与全球分区的VPC peering（确认双方地域支持跨分区 peering），或通过AWS Direct Connect打通专线。
• 将API Gateway配置为私有API，仅允许对等VPC内的流量访问。
• 全球区客户端通过自身VPC内的资源（如EC2、Lambda）访问该私有API，用VPC安全组、网络ACL做访问控制，无需跨分区IAM授权。

方案3：IAM Roles Anywhere #

让全球区的IAM身份直接在CN区获取临时访问凭证：

• 在AWS-CN的IAM中创建Roles Anywhere配置，导入全球区客户端的证书（可用全球区ACM Private CA签发）。
• 在CN区创建IAM角色，配置允许访问目标API Gateway的权限策略。
• 全球区客户端用自身IAM角色生成的证书，调用CN区的Roles Anywhere端点获取临时凭证，以此访问API Gateway。

方案4：第三方身份提供商联邦认证 #

借助第三方IdP实现跨分区身份验证：

• 在AWS-CN的IAM中配置第三方IdP（如Okta、Auth0）。
• 全球区客户端先通过第三方IdP认证，获取OIDC令牌或SAML断言。
• API Gateway配置对应的OIDC/SAML授权方，验证令牌后允许访问后端服务。

内容的提问来源于stack exchange，提问作者jt c