跳到主要內容

Access private API gateway from another account

最近在做一個 PoC 驗證說怎麼在現有的架構下，把一些 public API 移到 VPC 裡面，只讓特定網路的人可以存取。

當然最直覺的想法就是，建一個新的 VPC ，加上 execute-api VPC endpoint 然後這個 VPC 再跟特定網路做 Peering，建一個 Private API Gateway 在新的 VPC 裡面。

這樣新的 VPC 可以透過 VPC endpoint 去存取 API Gateway，然後再加一個 ALB ，裡面的 target group 指向 VPC endpoint 的 IP和 443 port，ALB 設定好 Domain Listener，API Gateway 也加上相同的 Custom Domain Name，這樣子 ALB 就可以當成特定網路 access 的 entry point，一但 Peering 完成後，從特定網路來的 request 就可以經由 ALB -> API GW 跨 VPC 存取原本環境的 backend resource。

但我一直在想，Peering 是必要的嗎? 沒想到隔天就看到這個教學 How can I access an API Gateway private REST API in another account using an interface VPC endpoint? 裡面的做法突破了原本我直覺上的盲點! 就是即使是 Internal API Gateway 似乎只要設定好了 resource policy 就可以允許其他 account 的 VPC endpoint 跨帳號存取!

所以例子裡面的 private API Gateway 是建立在 B 帳號裡面，A 帳號的 VPC 只是啟用了 VPC endpoint，一但 B 帳號的 private API Gateway 在 resource policy 設定好允許 A 帳號的 VPC endpoint 存取，即使兩個帳號之間沒有 peering 也是可以互通的!

雖然說這樣子要帶 hostname header or api-gw-id 但是 原本架構上的 ALB 也是為了 VPC endpoint 可以知道要 forward request 給哪個 API Gateway 才加上的... 

但至少是一個不想要建 VPC Peering 的選項之一.... :p

Reference:


標籤：

留言

張貼留言

這個網誌中的熱門文章

3M UVA3000 更換濾芯紫外線燈匣

用了一年的3M濾水器提示說要換濾芯和燈匣 上 Youtube 想找教學的影片可是沒看到 UVA 3000 的 經過了一番奮戰後在這邊記錄一下 希望可以幫助後人，以免再重蹈覆轍。 Step 1. 拔掉插頭，把淨水器從牆上拿下來（基本上他是掛著而已），比較方便施工。 Step 2. 把前蓋往上拉，很容易就可以看到裡面的東西了。 Step 3. 打開後可以看到有兩個柱狀體，左邊的是燈匣，右邊的是濾芯。 Step 4. 這裡有個祕技是，這兩個柱狀體是可以往上 翻開30 度左右，這樣就可以有比較大的空間施工。 Step 4. 更換濾芯的話，柱狀體的瓶身上有箭頭，往左就是轉開，往右就是鎖緊。 Step 5. 更換燈匣的話比較麻煩一點，因為他底部是電源，頂部的右邊有個突出來的小方塊。對照淨水器上方連接處的話會有個弧形的凹槽，這是要 match 的．如果你只注意瓶身的箭頭往右鎖回去，就會造成漏水...Orz... Step 6. 把前蓋蓋回，機器掛回牆上，插插頭，開水，如果機器沒有告訴你有燈匣異常或漏水的話，就可以長按 C / UV  Reset 計數器了． 所以關鍵字就是，要往上翻 30 度，燈匣上面的小凸點要在右側，要看瓶身的 小箭頭． May it helps!
張貼留言
閱讀完整內容

MySQL CONVERT_TZ return NULL

在 local dev 環境想要 reproduce 一個 bug 的時候， 卻發現在我的環境 MySQL store procedure 的行為和 production 機器上的不一樣 原本以為是 store procedure 的邏輯有問題 最後發現原來是 CONVERT_TZ() 搞的鬼... 因為我的 local dev 環境是自己從零開始 setup 的 沒想到 CONVERT_TZ 這個 MySQL 內建的 function 需要一些 initial data 不然只要丟給他轉換的日期時間都會回傳 NULL.... 解決方法就是 mysql_tzinfo_to_sql / usr / share / zoneinfo | mysql - u root mysql 這樣就會把 zoneinfo 轉成 CONVERT_TZ 所需要的資料 我的 local dev 環境的行為就恢復正常啦~ Reference: http://stackoverflow.com/questions/14454304/convert-tz-returns-null
張貼留言
閱讀完整內容

Angular 2

Angular 2 似乎不錯的樣子？ ECMAScript 6 的 class 和 Angular 2 語法的大改版 感覺似乎直覺多了... 從 Server Side 的 PHP Framework + jQuery 換成 Angular 2 的純 Frontend 可以真正擺脫後端做一套, 前端又要做半套 然後又難以測試的問題嗎? 或許 Angular 2 是一個值得投資時間關注的新方式? Angular 2 Preparation - Part 1 - Code Structure Comparison Free New Angular 2 Preparation Course An Angular2 Todo App: First look at App Development in Angular2 https://angular.io
張貼留言
閱讀完整內容