Tutorial: creazione e invocazione di un nome di dominio personalizzato per API private

Gateway API effettua il provisioning di un nome di dominio con una policy deny per tutte le risorse. Questa è la policy delle risorse per il servizio execute-api. Devi aggiornare questa policy delle risorse per concedere l'accesso agli endpoint VPC per invocare il tuo nome di dominio personalizzato privato.

Quando crei un nome di dominio personalizzato privato utilizzando la AWS CLI, fornisci una policy delle risorse affinché il servizio execute-api conceda l'accesso agli endpoint VPC per invocare il tuo nome di dominio personalizzato privato, utilizzando il parametro --policy file://policy.json. È possibile modificare questa policy in un secondo momento.

In questo esempio si collega la seguente policy di risorse come policy caricando i parametri da un file. Copia e salva questo file come policy.json. Questa policy consente solo il traffico in entrata verso un nome di dominio personalizzato privato dall'endpoint VPC vpce-abcd1234efg:

Il seguente comando create-domain-name crea un nome di dominio personalizzato privato:

aws apigateway create-domain-name \
    --domain-name 'private.example.com' \
    --certificate-arn 'arn:aws:acm:us-west-2:111122223333:certificate/a1b2c3d4-5678-90ab-cdef' \
    --security-policy 'TLS_1_2' \
    --endpoint-configuration '{"types":["PRIVATE"]}' \
    --policy file://policy.json

L'output sarà simile al seguente:

{
    "domainName": "private.example.com",
    "domainNameId": "abcd1234",
    "domainNameArn": "arn:aws:apigateway:us-west-2:111122223333:/domainnames/private.example.com+abcd1234",
    "certificateArn": "arn:aws:acm:us-west-2:111122223333:certificate/a1b2c3d4-5678-90ab-cdef",
    "certificateUploadDate": "2024-09-10T10:31:20-07:00",
    "endpointConfiguration": {
        "types": [
            "PRIVATE"
        ]
    },
    "domainNameStatus": "AVAILABLE",
    "securityPolicy": "TLS_1_2",
    "routingMode" : "API_MAPPING_ONLY",
    "policy": "..."
}

Il seguente comando create-base-path-mapping crea una mappatura tra un'API privata e un nome di dominio personalizzato privato:

aws apigateway create-base-path-mapping \
    --domain-name-id abcd1234 \
    --domain-name 'private.example.com' \
    --rest-api-id a1b2c3 \
    --stage prod \
    --base-path v1

L'output sarà simile al seguente.

{
    "basePath": "v1",
    "restApiId": "a1b2c3",
    "stage": "prod"
}

Puoi anche creare l'associazione di accesso al nome di dominio utilizzando la pagina Associazioni di accesso ai nomi di dominio della console.

Il seguente comando create-domain-name-access-association crea un'associazione di accesso al nome di dominio tra il nome di dominio personalizzato privato e l'endpoint VPC.

aws apigateway create-domain-name-access-association \
    --domain-name-arn arn:aws:apigateway:us-west-2:111122223333:/domainnames/private.example.com+abcd1234 \
    --access-association-source vpce-abcd1234efg \
    --access-association-source-type VPCE \
    --region us-west-2

L'output sarà simile al seguente.

{
    "domainNameAccessAssociationARN": "arn:aws:apigateway:us-west-2:111122223333:/domainnameaccessassociations/domainname/private.example.com+abcd1234/vpcesource/vpce-abcd1234efg",
    "accessAssociationSource": "vpce-abcd1234efg",
    "accessAssociationSourceType": "VPCE",
    "domainNameARN" : "arn:aws:apigateway:us-west-2:111122223333:/domainnames/private.example.com+abcd1234"
}

Per utilizzare la AWS Management Console, consulta Creating a private hosted zone nella Guida per gli sviluppatori di Amazon Route 53.

Per Nome, usa il tuo nome di dominio personalizzato privato. Per ID VPC, usa il VPC contenente l'endpoint VPC utilizzato nei passaggi precedenti.

Il seguente comando create-hosted-zone crea una zona ospitata privata:

aws route53 create-hosted-zone --name private.example.com \
    --caller-reference 2014-04-01-18:47 \
    --hosted-zone-config Comment="command-line version",PrivateZone=true \
    --vpc VPCRegion=us-west-2,VPCId=vpc-abcd1234

L'output contiene l'ID della zona ospitata. L'ID della zona ospitata viene utilizzato nei passaggi seguenti.

Per utilizzare la AWS Management Console, consulta Routing traffic to an Amazon API Gateway API by using your domain name.

Usa Creazione rapida e attiva Alias. Per l'endpoint, utilizza il nome DNS dell'endpoint VPC.

Per configurare i record DNS in modo da mappare il nome di dominio personalizzato privato al relativo nome host dell'ID della zona ospitata, devi creare un file JSON contenente la configurazione per configurare un record DNS per il nome di dominio privato.

Il seguente setup-dns-record.json mostra come creare un record A DNS per mappare un nome di dominio personalizzato privato al relativo nome host privato. Fornisci il DNSName del tuo ID DNS VPC e l'ID della zona ospitata che hai creato nel passaggio precedente.

{
  "Changes": [
    {
      "Action": "UPSERT",
      "ResourceRecordSet": {
        "Name": "private.example.com",
        "Type": "A",
        "AliasTarget": {
          "DNSName": "vpce-abcd1234.execute-api.us-west-2.vpce.amazonaws.com",
          "HostedZoneId": "Z2OJLYMUO9EFXC",
          "EvaluateTargetHealth": false
        }
      }
    }
  ]
}

Il seguente comando change-resource-record-sets crea un record DNS per il nome di dominio personalizzato privato:

aws route53 change-resource-record-sets \
    --hosted-zone-id ZABCDEFG1234 \
    --change-batch file://path/to/your/setup-dns-record.json

Sostituisci hosted-zone-id con l'ID della zona ospitata di Route 53 del record DNS impostato nel tuo account. Il valore del parametro change-batch punta a un file JSON.

Dopo aver eliminato l'associazione di accesso al nome di dominio, puoi eliminare il tuo nome di dominio personalizzato privato.

Se necessario, puoi anche eliminare il tuo endpoint VPC. Per ulteriori informazioni, consulta Eliminazione di un endpoint dell'interfaccia.

Se necessario, puoi anche eliminare il tuo endpoint VPC. Per ulteriori informazioni, consulta Eliminazione di un endpoint dell'interfaccia.