能否让Lambda函数调用受WAF保护的API且无需使用VPC？

当然可以不用把Lambda放进VPC来解决这个问题，我给你几个实用的方案：

方案1：基于IAM身份验证的WAF规则 #

这是最安全的AWS原生方案。你可以在WAF中添加一条允许规则，优先级高于你的IP限制拒绝规则，验证请求是否由你的Lambda执行角色签名：

• 配置WAF规则时，选择AWS:SourceAccount和AWS:SourceArn条件，指定你的AWS账号ID和Lambda函数的ARN。
• 确保你的Lambda在调用API时使用AWS签名版本4（SigV4）来签名请求（大部分AWS SDK会自动处理这个，比如boto3调用APIGateway时启用签名）。
  这样WAF会直接信任来自这个Lambda角色的请求，完全不用依赖IP地址。

方案2：自定义请求头+WAF规则 #

如果IAM签名的配置对你来说有点复杂，你可以用自定义秘密头的方式：

• 在你的Lambda代码中，添加一个自定义请求头（比如X-Internal-Auth），值存放在AWS Secrets Manager或Parameter Store中（绝对不要硬编码！）。
• 在WAF中添加一条允许规则，检查请求头是否包含正确的密钥值，优先级设为最高。
  这种方法实现起来快，但要注意定期轮换密钥，确保安全性。

方案3：改用API Gateway Lambda集成（如果适用） #

如果你的API后端本身就是Lambda或者可以调整，其实可以直接把你的调用Lambda和目标API集成到同一个API Gateway中，用Lambda集成的方式直接触发后端逻辑，而不是让Lambda通过HTTP调用API。这样完全绕开了WAF的IP限制，因为请求是在AWS内部流转的。

需要注意的是，前两种方案都需要调整WAF规则的优先级，确保允许规则先于IP拒绝规则执行，不然请求还是会被拦截。

内容的提问来源于stack exchange，提问作者Jimi