如何在 AWS 中保护基于 HTTP 的 API 网关

Question

AWS API Gateway 有两个版本：

• 休息版本
• HTTP 版本 (v2)

我正在使用带有 lambda 授权者的较新 HTTP 版本，并且希望保护我的暂存/测试环境免受外部请求的影响。一种想法是在 API 网关前面放置一个 WAF，但不幸的是只有 REST 版本的网关支持 WAF。

对于如何保护这些资源以便只能从特定的 IP 范围访问它们有什么建议吗？（公司VPN）

Answer 1

使用 API Gateway 时，HTTP API 类型缺少与 REST API 比较时可用的一些安全选项，如下表所示：

\n

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n \n\n\n\n\n\n

安全	HTTP API	休息API
双向 TLS 身份验证	\xe2\x9c\x93	\xe2\x9c\x93
后端认证证书		\xe2\x9c\x93
AWS 网络应用防火墙		\xe2\x9c\x93
资源政策		\xe2\x9c\x93

\n

\n

完整的比较可以在这里找到。

\n

为了保护您的 HTTP API 免受某些威胁（例如恶意用户或流量峰值），API 网关默认提供设置限制目标或/和启用双向 TLS 的选项。

\n

要了解有关这些默认选项的更多信息，请查看此页面保护您的 HTTP API。

\n

如果您想使用 WAF，您可以创建与支持 WAF 的 ALB 的私有集成，这意味着您可以获得 WAF 的优势，同时仍然享受 HTTP API 的更低成本和更高性能。

\n

您的架构可以与以下架构类似：

\n

\n

要了解有关这些集成的更多信息，请查看此页面：设计 Amazon API Gateway 私有 API 和私有集成的最佳实践。

\n

Answer 2

您可以使用标签aws:SourceVpc并aws:SourceVpce在 Api 资源策略中创建私有 Api 网关。

aws官方文档链接