内网Qlik Sense通过防火墙规则访问AWS API Gateway的实现方案

架构可行性说明 #

你构思的「内网Qlik Sense → 企业防火墙 → AWS API Gateway → Lambda → DynamoDB」核心链路可以正常运行，仅需要对API Gateway做少量配置调整，满足静态IP白名单要求即可落地。

具体实现步骤 #

• 优先选用区域型API Gateway（不要使用边缘优化型，边缘优化的IP属于CloudFront动态地址池，无法固定），可根据需要绑定自定义域名，SSL证书通过AWS Certificate Manager免费申请即可。
• 为API Gateway配置固定公网IP，二选一即可：
  • 方案一：给区域型API Gateway绑定AWS Global Accelerator，加速服务会自动分配2个固定公网任播IP，直接将这2个IP和443端口加入Qlik服务器的防火墙出向白名单即可，无需调整现有VPC配置，部署成本最低。
  • 方案二：将API Gateway配置为私有API，关联VPC内的公网NAT网关，NAT网关绑定的弹性IP（EIP）是固定公网地址，将该EIP和443端口加入白名单即可，适合已经有VPC NAT规划的场景。
• 后端集成Lambda函数，给Lambda配置DynamoDB对应读写权限的IAM角色，按照业务需求将DynamoDB的操作封装为标准REST API接口。
• API Gateway侧开启API Key或IAM校验，Qlik Sense调用接口时携带对应鉴权信息，避免未授权访问。

可选优化项 #

• 给DynamoDB配置VPC端点，Lambda访问DynamoDB的流量完全走AWS内网，不经过公网，安全性更高。
• 根据Qlik Sense的请求超时阈值，调整API Gateway和Lambda的超时配置，API Gateway默认超时为29秒，Lambda最长可设置为15分钟执行时间。

内容的提问来源于stack exchange，提问作者Ahmadov