我已经通过 elasticbeanstalk 将 node js 应用程序部署到单实例类型的 ec2 实例。在此之后，我通过 amazon api gateway 部署了我的应用程序。我的 EC2 实例是公开的。我想限制它只接受来自 amazon api 网关的请求。
我通过 api 网关生成了客户端证书，但我不知道如何在 EC2 实例上使用或安装此证书，以便 EC2 实例仅接受来自 aws api 网关的请求。我在我的应用程序中使用 Node js 服务器。
请帮忙。
【问题讨论】：
标签： amazon-web-services amazon-ec2 aws-api-gateway
API Gateway 客户端证书功能不使用 ACM 证书。
对于客户端证书，API Gateway 会生成自己的自签名证书，并让您可以使用 PEM 编码的客户端证书公钥来配置您的 Web 服务器。 API Gateway 保留证书的私钥，并在向您的 Web 服务器发出请求时使用它。按照设计，无法从 API Gateway 导出私钥，因此您可以确定调用者是 API Gateway，因为没有其他人可以获取私钥。
要获取客户端证书的 PEM 编码公钥，请调用 get-client-certificate as documented here
请注意，您还必须使用由 API Gateway 信任的证书颁发机构签署的服务器证书配置您的 Web 服务器。不要将此与用于自定义域名的证书混淆。这些用于 TLS 终止对您的 API 的传入请求。我为这个用例谈论的服务器证书只是在您的后端 Web 服务器上使用，因此 API Gateway 可以通过 TLS 调用它。
建议您在 API Gateway 中启用客户端证书之前，先获取、部署、配置和测试您的服务器证书。一旦您的服务器证书与 API 网关一起使用，然后启用客户端证书并修改您的 Web 服务器以要求它。
This article 描述了如何使用 Node.js 配置服务器端和客户端证书。
【讨论】：
<blink> 标签，如果我见过的话。 ：） 至理名言。这并不意味着这一步有什么异常困难，这只是一个可靠的策略——如果没有客户端证书就无法工作，那么将其添加到混合中只会使故障排除变得相当复杂。