Amazon API Gateway使用IP白名单控制后端服务访问

亚林瓜子

已于 2022-10-23 11:48:51 修改

阅读量1.4k

点赞数

文章标签： gateway 网络 ip白名单

于 2022-09-23 11:37:25 首次发布

阿弥陀佛欢迎流通功德无量

本文链接：https://blog.csdn.net/fxtxz2/article/details/127007121

版权

一图胜千言

目标

我们需要在Amazon API Gateway设置资源策略，用于控制某些IP段能够访问特定后端服务。

前提

假设已经完成了Amazon API Gateway中REST API的接口部署，如下就是已经存在的API接口：
Rest API接口

步骤

创建资源策略

创建资源策略
点击“资源策略”，写入如下内容后，点击“保存”按钮即可：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws-cn:execute-api:cn-north-1:xxx:xxx/*/*/adminApi/*"
        },
        {
            "Effect": "Deny",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws-cn:execute-api:cn-north-1:xxx:xxx/*/*/adminApi/*",
            "Condition": {
                "NotIpAddress": {
                    "aws:SourceIp": "x.x.x.x/24"
                }
            }
        },
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "arn:aws-cn:execute-api:cn-north-1:xxx:xxx/*/*/openApi/*"
        }
    ]
}

这里资源策略的意思就是许可特定的IP段x.x.x.x/32，才能够访问/adminApi/*的接口，其他接口都能够随意访问。值得注意的是这里的Resource格式：arn:aws-cn:execute-api:cn-north-1:账号id:API Gateway的id/阶段名称/http请求方法/adminApi/*。
需要注意：Allow 与 Deny的策略顺序。