Uma empresa construiu APIs usando Amazon API Gateway com endpoints Regionais. Essas APIs invocam funções AWS Lambda e usam autenticação do API Gateway. Uma revisão encontrou um subconjunto de APIs que não devem ser acessíveis publicamente e devem ser invocáveis apenas de dentro de uma VPC. Todas as chamadas devem ser de usuários autenticados. Qual solução realiza isso com o menor esforço?

A solução correta envolve alterar o tipo de endpoint do API Gateway para "Private" e criar um endpoint de VPC de interface (AWS PrivateLink) na VPC. Isso garante que as APIs sejam acessíveis apenas de dentro da VPC, mantendo a autenticação do API Gateway e a invocação das funções Lambda. Anexar uma política de recurso à API restringe ainda mais o acesso ao endpoint da VPC. As outras opções são menos eficientes ou não atendem aos requisitos: Criar um ALB interno e apontar para a função Lambda exigiria reescrever a lógica de autenticação e gerenciamento de API, que já existe no API Gateway. Remover a entrada DNS e usar um CNAME não restringe o acesso à VPC, apenas altera o método de resolução de nome. Implantar funções Lambda dentro da VPC e usar um servidor Apache adiciona complexidade desnecessária e não aproveita as capacidades nativas do API Gateway para acesso privado.