AWS API Gateway 私有 API 自定义域名

Question

AWS 文档说，

私有 API 不支持自定义域名。

来源：https : //docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-private-apis.html

这究竟是什么意思？我可以将自定义域名附加到 Private API。

但是，我面临 SSL 证书的问题。

Answer 1

API 网关有 4 个选项：

• HTTP API
• 网络套接字 API
• REST API
• REST API 私有

REST API Private 与 REST API 相同，只是它只能从 VPC 内访问。要从 VPC 内访问 REST API，需要一个接口 VPC 端点。如果您不使用接口 VPC 端点，那么您可以通过 NAT 访问 API 网关上的 REST API，该 NAT 通过互联网网关或仅通过互联网网关。在任何一种情况下，这都将是 Internet 上的公共 REST API。

使用 VPC 接口终端节点时，AWS 会生成自定义域名。该域名用于在 VPC 中定位端点并重定向到 REST API。因此，您此时无法指定您自己的自定义域名。您可以为面向公众的 REST API 指定自定义域名。

因为您不能指定自己的自定义域名，所以不能使用自己的自定义证书。

由于 VPC 接口端点在内部称为 API 网关，因此使用TLS 1.2。这也不能改变。

如果您想使用自己的证书，则需要定义自己的域名，并使用 API Gateway 中定义的面向公众的 REST API。

或者，您可以使用 VPC 内部的自定义域名，为此域名生成证书。将证书放在像 NGINX 这样的代理服务器上，使用代理来处理接口端点。接口端点使用弹性网络接口(ENI)，因此有一个安全组，您可以使用安全组限制来自代理的流量。在这种情况下，证书将驻留在代理上，而 TLS 将在代理服务器上终止。然后代理服务器将通过新连接访问 REST API。