AWS API Gateway 与资源策略 V.S.使用 VPC 端点答案

【问题标题】：AWS API Gateway with resource policy V.S. with VPC EndpointAWS API Gateway 与资源策略 V.S.使用 VPC 端点
【发布时间】：2022-01-12 08:19:06
【问题描述】：

我正在尝试使用 AWS API Gateway 创建私有 API。据我了解，我有 2 个选项来实施私有 API 网关，1) 使用 API 网关资源策略限制源和 2) 使用 VPC 端点限制 VPC 中的源。

我的问题是：对于选项 1，我可以在资源策略中设置条件以仅允许来自特定 VPC 的流量并达到与选项 2 相同的结果吗？

# API Gateway resource policy
{
  ...

  "Condition": {
    "StringEquals: {
      "aws:sourceVpc": "vpc-123abc"
    }
  }
}

如果是，它们之间有什么不同？采用 VPC Endpoint 实现私有 API 网关有什么优势？

【问题讨论】：

【解决方案1】：

您可以使用以下方式访问私有 API 网关：How to invoke a private API

在您的案例中适用于 VPC 端点的条件是 aws:SourceVpce，此处是您在 aws 账户中部署的 execute-api 端点的 ID。您可以在此处找到 AWS 全局条件上下文键列表：AWS global condition context keys。

【讨论】：

我可以使用账户 A 中的 VPC Endpoint 访问账户 B 中的私有 API 网关吗？提前致谢！
当然可以。在这种情况下，您需要在账户 B 私有 API 网关资源的策略中授权项目 A vpc-id。条件将如下所示："StringEquals: { aws:sourceVpce": "PROJECT_A_VPCE_ID" }
我读到一些解决方案使用 VPC Endpoint Service 作为私有 API Gateway 的入口，而在另一个帐户中，使用 VPC Endpoint 访问私有 API Gateway。采用 VPC Endpoint Service 有什么优势？（类似于this）