19、保障 AWS API 网关安全的全面指南

保障 AWS API 网关安全的全面指南

1. API 网关概述与 VPC 连接

API 网关向所有试图访问云资源的请求开放，是保障整个基础设施安全的核心。可以使用 VPC 链接将面向客户的 API 网关与私有网络负载均衡器（NLB）连接，NLB 再连接到 Kubernetes 环境。

2. API 网关的访问控制

为应对外部威胁，边缘网络需采用零信任模型，即所有边缘服务在通过认可方法建立信任之前，不相信任何传入请求。API 网关通过一组授权器支持零信任策略，授权器可视为拦截器，检查每个传入请求并实施零信任。只有满足预配置授权器要求的请求才能继续处理。

AWS 原生支持三种类型的授权器，各自有不同的用例：
| 授权器类型 | 说明 |
| — | — |
| API 基于身份和访问管理（IAM）授权器 | 将调用实体的身份映射到 AWS 可识别的主体（AWS 用户或 AWS 角色），使用 IAM 策略进行访问控制 |
| Cognito 基于授权器 | 利用 AWS Cognito 提供终端用户身份验证 |
| Lambda 基于授权器 | 调用 AWS Lambda 函数评估请求的访问权限和特权 |

2.1 IAM 授权器（基于 API 的授权器）

实现 IAM 授权的步骤如下：
1. 确定调用应用程序将用于发出此请求的主体。
2. 确保调用应用程序被允许承担用于 API 网关授权的身份。
3. 创建并附加 IAM 策略，定义该主体在何种情况下可以或不可以调用此方法。
4. 使用此策略在 API 网关启用 IAM 授权。