AWS API网关专用API自定义域名

Question

AWS文件说,

私有API不支持自定义域名。

来源：https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-private-apis.html

这到底是什么意思？我可以将自定义域名附加到私有API。

然而，我面临着SSL证书的问题。

Answer 1

API网关有4个选项：

• HTTP API
• WebSockets API
• REST API
• REST API专用

REST API Private与REST API相同，只是它只能从VPC中访问。要从VPC内访问REST API，需要一个接口VPCendpoint。如果您不使用接口VPCendpoint，那么您可以通过NAT访问API网关上的REST API，NAT通过internet网关或仅通过internet网关。无论哪种情况，这都将是Internet上的公共REST API。

当使用VPC接口endpoint时，AWS生成自定义域名。此域名在VPC中用于定位endpoint并重定向到REST API。由于这个原因，此时您不能指定自己的自定义域名。您可以为面向公共的REST API指定自定义域名。

由于无法指定自己的自定义域名，因此无法使用自己的自定义证书。

因为VPC接口endpoint在内部称为API网关，所以使用TLS1.2。这一点也无法改变。

如果您想使用自己的证书，那么您需要定义自己的域名，并使用API Gateway中定义的面向公共的REST API。

或者，您可以使用VPC内部的自定义域名，为该域名生成证书。将证书放在一个代理服务器上，比如NGINX，使用代理来前置接口endpoint。接口endpoint使用弹性网络接口(ENI)，因此有一个安全组，您可以使用安全组限制流量从代理发出。在这种情况下，证书将驻留在代理上，而TLS将在代理服务器上终止。然后代理服务器将通过一个新的连接访问REST API。