通过VPCendpoint的AWS专用API网关

Question

首先，我对AWS很陌生。以下是我想要达到的目标：

null

因此，现在我有了一个专用子网，其endpoint允许HTTP(S)流量。该endpoint具有某些（专用）DNS名称，（可能）也具有专用IP（找不到）

现在我想要添加一个API网关来前面的一些AWS lambda。我创建所述API，并将其作为endpoint类型->Private

下面是：正式文档将API网关“链接”到VPCendpoint的“唯一”方法是添加资源策略。所以我输入以下内容

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Deny",
        "Principal": "*",
        "Action": "execute-api:Invoke",
        "Resource": "arn:aws:execute-api:<REGION>:<MY ID>:<API GATEWAY ID>/*/*/<MY RESOURCE>",
        "Condition": {
            "StringNotEquals": {
                "aws:sourceVpce": "<VPC ENDPOINT ID>"
            }
        }
    },
    {
        "Effect": "Allow",
        "Principal": "*",
        "Action": "execute-api:Invoke",
        "Resource": "arn:aws:execute-api:<REGION>:<MY ID>:<API GATEWAY ID>/*/*/<MY RESOURCE>"
    }
]

}

为了完整起见，这里是我的lambda(Python3.6):

from __future__ import division
def lambda_handler(event, context):
  return {
      "statusCode":200,
      "headers": {"Content-Type": "application/json" },
      "body" : "It work!"
  }

最后是问题：

调用这个REST API的URL是什么！API网关（在lamdba控制台中）告诉我：

https://<API GATEWAY ID>.<REGION>.amazonaws.com/<MY STAGE>/<MY RESOURCE>

好的！让我们对公共子网中的EC2实例调用该URL：APIURL I ssh，并运行以下操作：

curl https://$APIURL

curl https://vpce-XXXXXXX-XXXX.execute-api.REGION.vpce.amazonaws.com/<MY STAGE>/<MY RESOURCE>

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Deny",
        "Principal": "*",
        "Action": "execute-api:Invoke",
        "Resource": "arn:aws:execute-api:<REGION>:<MY ID>:<API ID>/*/*/<MY RESOURCE>"
    }
]

我做错了什么？很抱歉我发了这么长的帖子。

Answer 1

在api部署到某个阶段之前，策略角色更新不会生效。

https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-resource-policies-create-attach.html

如果在API创建后更新资源策略，则需要部署API以在附加更新的策略后传播更改。