跳到主要內容

Access private API gateway from another account

最近在做一個 PoC 驗證說怎麼在現有的架構下，把一些 public API 移到 VPC 裡面，只讓特定網路的人可以存取。

當然最直覺的想法就是，建一個新的 VPC ，加上 execute-api VPC endpoint 然後這個 VPC 再跟特定網路做 Peering，建一個 Private API Gateway 在新的 VPC 裡面。

這樣新的 VPC 可以透過 VPC endpoint 去存取 API Gateway，然後再加一個 ALB ，裡面的 target group 指向 VPC endpoint 的 IP和 443 port，ALB 設定好 Domain Listener，API Gateway 也加上相同的 Custom Domain Name，這樣子 ALB 就可以當成特定網路 access 的 entry point，一但 Peering 完成後，從特定網路來的 request 就可以經由 ALB -> API GW 跨 VPC 存取原本環境的 backend resource。

但我一直在想，Peering 是必要的嗎? 沒想到隔天就看到這個教學 How can I access an API Gateway private REST API in another account using an interface VPC endpoint? 裡面的做法突破了原本我直覺上的盲點! 就是即使是 Internal API Gateway 似乎只要設定好了 resource policy 就可以允許其他 account 的 VPC endpoint 跨帳號存取!

所以例子裡面的 private API Gateway 是建立在 B 帳號裡面，A 帳號的 VPC 只是啟用了 VPC endpoint，一但 B 帳號的 private API Gateway 在 resource policy 設定好允許 A 帳號的 VPC endpoint 存取，即使兩個帳號之間沒有 peering 也是可以互通的!

雖然說這樣子要帶 hostname header or api-gw-id 但是 原本架構上的 ALB 也是為了 VPC endpoint 可以知道要 forward request 給哪個 API Gateway 才加上的... 

但至少是一個不想要建 VPC Peering 的選項之一.... :p

Reference:


標籤：

留言

張貼留言

這個網誌中的熱門文章

3M UVA3000 更換濾芯紫外線燈匣

用了一年的3M濾水器提示說要換濾芯和燈匣 上 Youtube 想找教學的影片可是沒看到 UVA 3000 的 經過了一番奮戰後在這邊記錄一下 希望可以幫助後人，以免再重蹈覆轍。 Step 1. 拔掉插頭，把淨水器從牆上拿下來（基本上他是掛著而已），比較方便施工。 Step 2. 把前蓋往上拉，很容易就可以看到裡面的東西了。 Step 3. 打開後可以看到有兩個柱狀體，左邊的是燈匣，右邊的是濾芯。 Step 4. 這裡有個祕技是，這兩個柱狀體是可以往上 翻開30 度左右，這樣就可以有比較大的空間施工。 Step 4. 更換濾芯的話，柱狀體的瓶身上有箭頭，往左就是轉開，往右就是鎖緊。 Step 5. 更換燈匣的話比較麻煩一點，因為他底部是電源，頂部的右邊有個突出來的小方塊。對照淨水器上方連接處的話會有個弧形的凹槽，這是要 match 的．如果你只注意瓶身的箭頭往右鎖回去，就會造成漏水...Orz... Step 6. 把前蓋蓋回，機器掛回牆上，插插頭，開水，如果機器沒有告訴你有燈匣異常或漏水的話，就可以長按 C / UV  Reset 計數器了． 所以關鍵字就是，要往上翻 30 度，燈匣上面的小凸點要在右側，要看瓶身的 小箭頭． May it helps!
張貼留言
閱讀完整內容

Getting start with Golang!

#Get started with Go https://talks.golang.org/2012/tutorial.slide#1 #Go for C programmers https://talks.golang.org/2012/goforc.slide#1 #Share Memory By Communicating https://blog.golang.org/share-memory-by-communicating #Codewalk: Share Memory By Communicating https://golang.org/doc/codewalk/sharemem/ #Go Concurrency Patterns: Timing out, moving on https://blog.golang.org/go-concurrency-patterns-timing-out-and #Go Language for Ops and Site Reliability Engineering https://talks.golang.org/2013/go-sreops.slide#1 #Go Dynamic Tools https://talks.golang.org/2015/dynamic-tools.slide#1 #Program your next server in Go https://talks.golang.org/2016/applicative.slide#1 #HTTP/2 Server Push https://blog.golang.org/h2push #gRPC Basics - Go http://www.grpc.io/docs/tutorials/basic/go.html #Go talks https://talks.golang.org/
張貼留言
閱讀完整內容