AWS APIGateway经Istio ALB转发请求至EKS工作负载配置方案

以下是经过生产验证的可落地方案，覆盖单ALB多API托管、Istio流量正确转发两个核心目标：

AWS HTTP API Gateway 侧配置 #

• 统一后端集成：所有内部API共用同一个指向内部Istio ALB的VPC Link集成，无需为每个服务单独创建后端资源。按API的路径、请求方法创建对应路由即可，例如/api/v1/billing/*路由对应计费服务、/api/v1/profile/*对应用户中心服务，所有路由的转发目标统一指向内部ALB对应监听器的端口（和你现有ALB监听器配置保持一致，通常为HTTP 80/HTTPS 443）。
• 强制注入Host头（核心修复项）：在VPC Link集成的「请求参数修改」规则中，为每个路由添加静态请求头覆写规则，将Host头设置为对应后端服务在Istio中匹配的虚拟服务域名，例如计费服务对应billing.internal、用户中心对应profile.internal。注意必须取消勾选「透传原始请求Host头」选项，确保APIGateway发往ALB的请求携带的Host值固定为你配置的预期值。如果需要保留客户端原始Host，可将原始值存入自定义头X-Client-Host透传，不要覆盖注入给Istio的Host字段。

这是解决当前请求到Envoy但无法向后转发的核心配置，Istio默认依赖Host头匹配对应的VirtualService规则，缺失Host头时会直接返回404或重置连接。

• 多API路由简化：如果所有内部API不需要差异化的鉴权、限流策略，可以直接创建通配路由/*绑定该VPC Link集成，所有路径的请求全量转发到内部ALB，路由分流逻辑全部下沉到Istio处理。如果不同API需要绑定不同的鉴权器（比如Cognito授权、Lambda自定义鉴权），再拆分单独路由绑定对应鉴权规则即可，后端仍然复用同一个ALB集成。
• 健康检查配置：在VPC Link集成中配置健康检查路径为Istio IngressGateway的存活检查端点（例如/healthz/ready），避免APIGateway将流量转发到未就绪的Envoy节点。

Istio 侧适配配置 #

• 对齐VirtualService匹配规则：确保每个后端服务对应的VirtualService的hosts字段，包含APIGateway侧为该服务注入的Host值，且VirtualService已经绑定到内部ALB对应的Istio Gateway资源。参考配置片段：

apiVersion: networking.istio.io/v1beta1
kind: VirtualService
metadata:
  name: billing-service-vs
  namespace: internal-apis
spec:
  hosts:
  - billing.internal # 必须和APIGateway注入的Host头完全一致
  gateways:
  - internal-alb-gateway # 绑定内部ALB对接的Istio Gateway
  http:
  - match:
    - uri:
        prefix: /api/v1/billing
    route:
    - destination:
        host: billing-service.internal-apis.svc.cluster.local
        port:
          number: 8000

• 调整ALB Ingress转发规则：内部ALB的监听器不要配置基于Host头的转发规则，直接将所有端口流量全量转发到Istio IngressGateway对应的Service端口，Host维度的路由逻辑全部交给Istio处理，避免ALB层提前拦截Host不匹配的请求。
• （可选）简化APIGateway配置方案：如果不想在APIGateway侧为每个路由单独配置Host头，可以在Istio中创建一个兜底VirtualService，匹配APIGateway默认携带的Host值（即内部ALB的默认DNS名称，格式类似internal-istio-alb-xxx.${region}.elb.amazonaws.com），在该VirtualService中直接配置基于路径的转发规则，将不同路径的请求分流到对应后端服务。这种方案下APIGateway不需要做任何Host头改写，适合API数量较多、路径规则清晰的场景。
• 可观测性校验：在Istio IngressGateway的访问日志中添加%REQ(Host)%日志字段，测试阶段先打样例流量，确认APIGateway注入的Host头符合预期，且能匹配到对应VirtualService的路由规则。

常见踩坑说明 #

• 如果内部ALB使用HTTPS监听器，不要配置强制SNI校验，监听器绑定的证书需要覆盖所有注入的内部域名，建议直接使用内部域名通配符证书，避免TLS握手失败。
• 安全组规则需要双向放通：VPC Connector的安全组允许出站访问内部ALB的对应端口，内部ALB的安全组允许入站访问来自VPC Connector所在网段的流量。
• 如果集群内配置了Istio AuthorizationPolicy做访问控制，需要将VPC Connector使用的CIDR段加入允许列表，避免合法请求被Envoy拦截。

内容的提问来源于stack exchange，提问作者Sayon Roy Choudhury