Ein Unternehmen hat APIs mit Amazon API Gateway und regionalen Endpunkten erstellt. Diese APIs rufen AWS Lambda-Funktionen auf und verwenden die API Gateway-Authentifizierung. Eine Überprüfung ergab, dass eine Untergruppe von APIs nicht öffentlich zugänglich sein darf und nur innerhalb einer VPC aufrufbar sein sollte. Alle Aufrufe müssen von authentifizierten Benutzern stammen. Welche Lösung erreicht dies mit dem geringsten Aufwand?

Die Umstellung des API Gateway-Endpunkttyps auf "Private" in Kombination mit einem Interface VPC Endpoint (AWS PrivateLink) ist die effizienteste Lösung. Private Endpunkte machen APIs nur über einen VPC Endpoint zugänglich, wodurch der öffentliche Zugriff unterbunden wird. Eine Ressourcenrichtlinie am API Gateway stellt sicher, dass nur Aufrufe vom spezifischen VPC Endpoint erlaubt sind. Dies erfüllt die Anforderung, dass die APIs nur innerhalb einer VPC aufrufbar sind und authentifizierte Benutzer weiterhin über API Gateway authentifiziert werden können. Die Option mit dem internen ALB ist nicht geeignet, da ALBs keine Lambda-Funktionen direkt als Zielgruppe haben können, wenn API Gateway als Proxy dazwischen liegt. Das Entfernen des DNS-Eintrags und die Verwendung von Route 53 ändert nichts an der öffentlichen Erreichbarkeit des API Gateways selbst, es sei denn, es wird zusätzlich eine private API konfiguriert. Die Bereitstellung von EC2-Instanzen mit Apache ist ein erheblicher Mehraufwand und würde die serverlose Architektur untergraben.