amazon-web-services - API Gateway 在不应该关心我的 Authorization header 时关心它

Question

我在 API Gateway 中创建了一个私有(private) REST API(具有 Lambda 代理集成)，需要可以从 VPC 访问该 API。我已在 VPC 中为 API 网关设置了 VPC 终端节点。正如预期的那样，可以从 VPC 内部访问 API。

VPC 终端节点(实际上是整个 VPC 环境)是通过 CloudFormation 创建的。

API 需要使用 Authorization header ，这是我无法更改的。该 header 的内容是我们公司特有的内容，而不是标准内容。问题是，当我向请求添加 Authorization header 时，API Gateway 会拒绝该请求，并显示以下错误(来自 CloudWatch 中的 API Gateway 日志):

IncompleteSignatureException
Authorization header requires 'Credential' parameter.
Authorization header requires 'Signature' parameter.
Authorization header requires 'SignedHeaders' parameter.
Authorization header requires existence of either a 'X-Amz-Date' or a 'Date' header.
Authorization=[the header content here]

如果我删除 Authorization header ，请求就会被接受，并且我会从 lambda 获得预期的响应。我调用的方法将 Auth 设置为 NONE。

奇怪的是，如果我删除 VPC 端点并通过控制台手动创建它，它会正常工作 - Authorization header 会传递到我的 lambda，而不是 API 网关检查和拒绝它。

我已经多次手动和使用 CloudFormation 拆除端点并重新创建它，结果是一致的。但我将它们相互比较后发现它们看起来完全一样:相同的设置、相同的子网、相同的安全组、相同的策略。由于我看不出它们之间有什么区别，所以我有点不明白为什么它不适用于 CloudFormation 版本。

我能够找到的唯一区别在于每个版本的 aws header (删除了 Authorization header ，否则它无法使用 CF 端点记录 header )。对于 CF 端点， header 包括 x-amzn-vpce-config=0 和 x-amzn-vpce-policy-url=MQ==。通过手动端点，我得到x-amzn-vpce-config=1，并且不包含policy-url header 。

我还尝试更改 API 以设置和删除 VPC 端点(可以在“设置”部分中的 API 上设置)，并重新部署它，但在任何一种情况下都没有效果 - 请求继续工作/像以前一样被拒绝。

有人有什么想法吗？我已将其发布在AWS forum上同样，但以防万一这里有人以前遇到过这个......

如果有任何兴趣，可以像这样创建端点([] = 已编辑):

ApiGatewayVPCEndpoint:
  Type: AWS::EC2::VPCEndpoint
  Properties:
    PrivateDnsEnabled: true
    PolicyDocument:
      Statement:
        - Action: '*'
          Effect: Allow
          Resource: '*'
          Principal: '*'
    ServiceName: !Sub com.amazonaws.${AWS::Region}.execute-api
    SecurityGroupIds:
      - !Ref [my sec group]
    SubnetIds:
      - !Ref [subnet a]
      - !Ref [subnet b]
      - !Ref [subnet c]
    VpcEndpointType: Interface
    VpcId: !Ref [my vpc]

Answer 1

我已经设法让它工作了，这是最荒谬的事情。

这是 CF 中的端点策略(包括在上下文中显示的属性名称):

PolicyDocument:
  Statement:
    - Action: '*'
      Effect: Allow
      Resource: '*'
      Principal: '*'

该策略在控制台中的显示方式如下:

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

这就是策略在 describe-vpc-endpoints 中的显示方式:

"PolicyDocument": "{\"Statement\":[{\"Action\":\"*\",\"Resource\":\"*\",\"Effect\":\"Allow\",\"Principal\":\"*\"}]}"

现在让我们看看手动创建的端点的策略。

控制台:

{
    "Statement": [
        {
            "Action": "*",
            "Effect": "Allow",
            "Resource": "*",
            "Principal": "*"
        }
    ]
}

描述-vpc-端点:

"PolicyDocument": "{\n  \"Statement\": [\n    {\n      \"Action\": \"*\", \n      \"Effect\": \"Allow\", \n      \"Principal\": \"*\", \n      \"Resource\": \"*\"\n    }\n  ]\n}"

控制台显示它们完全相同，并且在 describe-vpc-endpoints 中返回的 JSON 本身是相同的，除了一些“漂亮的”换行符和空格，这肯定不会有任何影响吗？错误的!正是这些换行符使该策略真正发挥作用!

无论如何，解决方案是以 JSON 形式提供策略，例如:

ApiGatewayVPCEndpoint:
  Type: AWS::EC2::VPCEndpoint
  Properties:
    PrivateDnsEnabled: true
    PolicyDocument: '
    {
      "Statement": [
        {
          "Action": "*",
          "Effect": "Allow",
          "Resource": "*",
          "Principal": "*"
        }
      ]
    }'
    ServiceName: !Sub com.amazonaws.${AWS::Region}.execute-api
    SecurityGroupIds:
      - !Ref [my sec group]
    SubnetIds:
      - !Ref [subnet a]
      - !Ref [subnet b]
      - !Ref [subnet c]
    VpcEndpointType: Interface
    VpcId: !Ref [my vpc]

您甚至可以将所有 JSON 放在一行中，它会在某个时候获取 AWS 放入其中的换行符。只是 YAML 在没有换行符的情况下转换为 JSON 并导致了此问题。

有了这样的 CF 资源，API Gateway 就会接受我的 Authorization header ，并将其传递给 Lambda，不会出现任何问题。