公司防火墙中AWS API Gateway API端点的白名单IP

Question

我已经构建了一个 AWS API Gateway API 端点，它将被我公司网络的一台机器击中，以每隔一定时间发布数据。 但是，当我通过 Postman 从办公网络尝试它时，办公室防火墙阻止了它（但是当我使用移动热点/其他 wifi 时，由于没有防火墙挑战，它可以无缝工作），所以我必须将 IP 地址范围设置为白色- 由办公网络团队列出，以便能够访问 API 端点。

从哪里获取IP？ 它们会保持不变还是不断变化？ 既然IP被网络安全团队列入白名单是一个漫长的过程，那么是否有一个顺畅的过程？

此外，这种将数据从本地推送到云端的方式是否存在风险？ 我已经实施了 AWS IAM 授权以及用于安全和访问控制的 API-Key。 如果仍然存在风险，如何使这个过程完全安全？

请帮忙！

Answer 1

不幸的是，您不能为 API 网关提供静态 IP，因为它可以在没有通知的情况下更改，这是由 AWS 设计的。 在这种情况下，您可以做的是让反向代理与弹性 IP 关联，它将透明地将您的 http 流量路由到 API 网关（然后您需要一个域名和一个证书，因为您将不再使用 APIGateway 名称）

此外，这种将数据从本地推送到云端的方式是否存在风险？ 我已经实施了 AWS IAM 授权以及用于安全和访问控制的 API-Key。 如果仍然存在风险，如何使这个过程完全安全？

在任何组织中都没有完全安全的东西，但为了保护传输中的数据，您应该使用像 https 这样的加密通道（API 网关本身支持）。 这就是为什么您需要域名和代理证书的原因

Answer 2

怎么样：

https://www.reddit.com/r/aws/comments/8f1pve/whitelisting_aws_api_gateway/

API Gateway 通过 Cloudfront 代理，因此您可以将此处用于 CLOUDFRONT 服务的 IP 列入白名单。 ips 已轮换，因此您需要每次更新白名单

您可以订阅一个 SNS 主题，它会在 AWS 服务的 IP 范围更新时发送这些主题。 https://aws.amazon.com/blogs/security/how-to-automatically-update-your-security-groups-for-amazon-cloudfront-and-aws-waf-by-using-aws-lambda/ https： //aws.amazon.com/blogs/aws/subscribe-to-aws-public-ip-address-changes-via-amazon-sns/

除非它是区域性 APIGW 端点。