Een bedrijf heeft API's gebouwd met Amazon API Gateway met regionale endpoints. Deze API's roepen AWS Lambda-functies aan en gebruiken API Gateway-authenticatie. Een beoordeling wees uit dat een subset van API's niet openbaar toegankelijk mag zijn en alleen vanuit een VPC mag worden aangeroepen. Alle aanroepen moeten afkomstig zijn van geauthenticeerde gebruikers. Welke oplossing bereikt dit met de minste inspanning?

De correcte oplossing is om het API Gateway endpoint-type te wijzigen naar Private en een interface VPC endpoint (AWS PrivateLink) aan te maken. Dit zorgt ervoor dat de API alleen toegankelijk is vanuit de opgegeven VPC, wat voldoet aan de vereiste dat de API niet openbaar toegankelijk mag zijn. Een resource policy op de API kan vervolgens worden gebruikt om toegang vanaf het VPC endpoint toe te staan, terwijl de bestaande API Gateway-authenticatie de geauthenticeerde gebruikers afhandelt. Dit is de meest efficiënte en veilige manier om dit te bereiken met minimale inspanning. Het maken van een interne ALB voor Lambda-functies is niet de meest directe methode, aangezien API Gateway al de benodigde functionaliteit biedt. Het verwijderen van de API Gateway DNS-vermelding en het gebruik van Route 53 CNAMEs lost het probleem van openbare toegankelijkheid niet op, omdat de API Gateway nog steeds openbaar toegankelijk zou zijn. Het implementeren van Lambda-functies binnen de VPC en het gebruik van een EC2-instantie met Apache is een onnodig complexe oplossing die extra beheerlast met zich meebrengt en de voordelen van serverless architectuur tenietdoet.