配置AWS API Gateway后私有REST API的访问权限、测试及解决方案咨询

1. 他人获取私有API的URL能否访问？ #

不能直接访问。AWS私有API Gateway的端点是仅绑定到您指定的VPC，没有公网入口。公网环境下即使拿到URL，AWS会直接拦截请求，返回403或无法连接的错误；只有在VPC内部、通过VPN/Direct Connect接入VPC的网络环境中，才能发起有效请求。

2. 场景测试方法 #

• VPC内验证：在您VPC中的EC2实例上，用curl或者Postman发起请求，确认API能正常响应
• 公网环境验证：在本地电脑（未接入VPC的公网环境）直接请求私有API的URL，检查是否返回权限错误或无法连接
• VPN接入验证：通过VPN连接到您的VPC后，再请求URL，确认此时能正常访问（如果您配置了VPN访问的话）

3. 持有自定义域名URL能否访问服务器？ #

分两种情况：

• 如果http://myDomain/get-one是绑定到私有API Gateway的自定义域名：和私有API的逻辑一致，公网无法访问；只有在VPC或授权的接入网络中才能访问
• 如果该域名直接指向您的后端服务器公网IP：那公网用户可能直接访问到服务器，这取决于您服务器的网络安全配置（比如安全组是否开放端口）

4. 解决办法与IP白名单配置可行性 #

完全可以通过多层限制加固访问：

• API Gateway层配置IP白名单：在API Gateway的资源策略中添加规则，仅允许指定IP段（比如您VPC的CIDR、办公网络IP）发起请求，拒绝其他所有来源
• 后端服务器层加固：在服务器的安全组或VPC的NACL中，仅允许API Gateway私有端点的IP段、或者您指定的白名单IP访问，彻底阻断非授权来源的请求
• 额外IAM授权：可以给API添加IAM认证，要求请求携带有效的IAM凭证，进一步缩小可访问的用户范围

内容的提问来源于stack exchange，提问作者Muathe Jamil