Un'azienda ha creato API utilizzando Amazon API Gateway con endpoint Regional. Queste API richiamano funzioni AWS Lambda e utilizzano l'autenticazione di API Gateway. Una revisione ha rilevato un sottoinsieme di API che non devono essere accessibili pubblicamente e dovrebbero essere richiamabili solo dall'interno di una VPC. Tutte le chiamate devono provenire da utenti autenticati. Quale soluzione raggiunge questo obiettivo con il minor sforzo?

La soluzione corretta prevede di cambiare il tipo di endpoint di API Gateway da Regional a Private. Questo rende l'API accessibile solo tramite un endpoint VPC di interfaccia (AWS PrivateLink) all'interno della VPC specificata. Creando un endpoint VPC e allegando una policy di risorsa all'API che consente l'accesso solo da tale endpoint, si garantisce che l'API sia richiamabile esclusivamente dall'interno della VPC, mantenendo l'autenticazione esistente. Questo è il metodo più diretto e sicuro per limitare l'accesso a un'API Gateway. Le altre opzioni sono meno efficienti o non raggiungono l'obiettivo. Creare un ALB interno e puntarlo a Lambda introdurrebbe un livello di complessità non necessario e non sfrutterebbe le capacità di API Gateway. Rimuovere la voce DNS di API Gateway e usare Route 53 non impedirebbe l'accesso pubblico diretto all'endpoint API Gateway. Distribuire le funzioni Lambda all'interno della VPC con un server Apache su EC2 è un approccio eccessivamente complesso e non idiomatico per questo caso d'uso.