AWS API Gateway与AWS WAF的结合使用

Question

我想使用AWS Web应用程序防火墙服务与AWS API Gateway。AWS WAF仅适用于AWS CloudFront分发。

根据https://forums.aws.amazon.com/message.jspa?messageID=677382中的帖子，API Gateway在幕后创建了一个CloudFront分发。尽管我在CloudFront控制台和WAF控制台中都没有看到此分发。

有没有办法利用API Gateway创建的CloudFront分发来使用WAF？

- medvedev1088

---

您IP地址为143.198.54.68，由于运营成本限制，当前对于免费用户的使用频率限制为每个IP每72小时10次对话，如需解除限制，请点击左下角设置图标按钮（手机用户先点击左上角菜单按钮）。 - Dave Maple

您实际上可以将WAF与API Gateway集成：https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-control-access-aws-waf.html - lxg

Answer 1

很抱歉，API网关无法访问支持CloudFront分发。要使用WAF，您必须创建第二个分发，这是低效的但理论上可以工作。

- jackko

---

现在您可以使用区域终端并在其前面使用自己的CF分发。对于区域终端，API网关将不会在内部创建第二个CF分发。有关更多详细信息，请参见https://aws.amazon.com/about-aws/whats-new/2017/11/amazon-api-gateway-supports-regional-api-endpoints/。 - Balaji

Answer 2

AWS API Gateway最近（大约在2018年11月）新增了这个功能。您可以通过https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-control-access-aws-waf.html链接了解更多相关信息。

- Denis Weerasiri

---

这个链接中的信息几乎在其他任何地方都找不到 - 这让我感到非常沮丧，特别是“Important API Gateway requires a Regional web ACL.” - user7504939

Answer 3

大家好，我有一个类似的问题，目前最好的解决方法是：

让 API 网关终止 SSL - 从 API 网关向您的 ALB、ELB 或 NLB（如果符合您的架构）发出调用 - 使用两个规则集通过 WAF 保护 ALB 1. 将所有 API 网关 IP 加入白名单 2. 只允许 API 网关接受 HTTP 标头

这样可以使您的基础设施更加安全。

如果您有 NLB，则可以直接使用私有链接到 NLB，但请注意，NLB 不支持基于路径的路由和跨区域应用程序故障转移。

我已要求 AWS 提出相同的功能请求。

- raaone7