Uma REST API no Amazon API Gateway expõe dados confidenciais e deve ser invocável apenas a partir de VPCs específicas da empresa. Qual configuração impõe o acesso apenas a partir dessas VPCs?

A criação e anexação de uma política de recurso (resource policy) ao API Gateway é a maneira correta de restringir o acesso a uma API apenas a partir de VPCs específicas. As políticas de recurso permitem definir permissões de acesso baseadas em condições, como o ID da VPC de origem (aws:SourceVpc). Anexar um security group diretamente a uma API do API Gateway não é possível, pois security groups são associados a instâncias EC2, ENIs ou outros recursos de rede, não diretamente a endpoints de API Gateway. Anexar uma função IAM à API do API Gateway não restringe o acesso de entrada. Funções IAM são usadas para conceder permissões ao API Gateway para interagir com outros serviços da AWS, não para controlar quem pode chamar a API. Adicionar uma ACL (Access Control List) à API do API Gateway não é uma opção válida. ACLs são usadas em contextos como Network ACLs para sub-redes ou ACLs de S3, mas não são um mecanismo de controle de acesso direto para APIs do API Gateway.