amazon-web-services - 使用资源访问策略控制对 AWS API Gateway 中 API 的访问不起作用

Question

我的基础架构如下所示:

两台 EC2 机器(无公共(public) IP)。每台 EC2 机器都在一个单独的子网中。

AWS API Gateway 有 4 个 API。
EC2 机器将访问 AWS API Gateway 以使用 REST API。

测试:

我正在尝试通过 IP 地址使用资源访问策略来控制对 API 网关的访问。我只想让两台 EC2 机器访问 API 网关，我的资源策略如下。我在资源策略中使用子网的 IP/CIDR。

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Principal": "*",
            "Action": "execute-api:Invoke",
            "Resource": "exact resource name",
            "Condition": {
                "IpAddress": {
                    "aws:SourceIp": [
                        "subnet address 1/CIDR",
                        "subnet address 2/CIDR"   
                    ]
                }
            }
        }
    ]
}

上述策略不起作用并阻止所有 REST 调用。
请帮助我解决问题。

Answer 1

API Gateway 不在您的 VPC 内。它无法将您的流量视为来自您的 VPC CIDR block 。您需要在策略中提供您的实例用于访问 Internet 的 NAT 网关的 IP 地址。