Une entreprise a créé des API à l'aide d'Amazon API Gateway avec des points de terminaison régionaux. Ces API invoquent des fonctions AWS Lambda et utilisent l'authentification API Gateway. Un examen a révélé qu'un sous-ensemble d'API ne devait pas être accessible publiquement et ne devait être appelable que depuis un VPC. Tous les appels doivent provenir d'utilisateurs authentifiés. Quelle solution y parvient avec le moins d'effort ?

La solution correcte consiste à modifier le type de point de terminaison API Gateway en Privé. Cela permet d'exposer l'API uniquement via un point de terminaison d'interface VPC (AWS PrivateLink), rendant l'API accessible uniquement depuis le VPC spécifié. L'ajout d'une politique de ressources à l'API garantit que seuls les appels provenant de ce point de terminaison VPC sont autorisés, répondant ainsi à l'exigence de non-accessibilité publique. L'authentification API Gateway existante continue de fonctionner pour les utilisateurs authentifiés. Les autres options sont incorrectes car : Créer un ALB interne ne permet pas de restreindre l'accès à l'API Gateway elle-même, seulement à la fonction Lambda si elle était directement derrière l'ALB. Supprimer l'entrée DNS et utiliser Route 53 ne restreint pas l'accès public à l'API Gateway. Déployer les fonctions Lambda dans le VPC avec une instance EC2 et Apache ajoute une complexité inutile et ne gère pas directement la restriction d'accès à l'API Gateway existante.