AWS re:Post Knowledge Center Feedback Survey

Help us improve the AWS re:Post Knowledge Center by sharing your feedback in a brief survey. Your input can influence how we create and update our content to better support your AWS journey.

如何只允許特定 IP 位址存取我的 API Gateway REST API？

2 分的閱讀內容

我只想允許特定 IP 位址存取我的 Amazon API Gateway REST API。

簡短描述

若要只允許特定 IP 位址存取您的 REST API，請建立拒絕所有其他 IP 位址存取的資源政策。

將資源政策附加到 REST API 後，具有權限的使用者可以從指定的 IP 位址呼叫 API。您的 API 拒絕來自任何其他 IP 位址的呼叫，並顯示「HTTP 403 Forbidden」錯誤。

若要封鎖特定 IP 位址並允許所有其他 IP 位址的存取，請參閱範例：根據來源 IP 位址或範圍拒絕 API 流量。

**注意：**您可以對 API Gateway HTTP API 使用資源政策。

解決方法

設定 API 方法

要測試存取權，請使用您現有的 API Gateway REST API 或建立範例 REST API。如果您使用 PetStore 範例 API，請繼續執行 Create and attach a resource policy (建立並附加資源政策)。

若要為您現有的 REST API 建立模擬整合，請完成以下步驟：

開啟 API Gateway console (API Gateway 主控台)。
選擇您的 REST API。
在 Resources (資源) 窗格的Methods (方法) 下，選擇 Create method (建立方法)。
在 Method type (方法類型) 中，選取 ANY (任何)。
在 Integration type (整合類型) 中，選擇 Mock (模擬)。
**注意：**模擬整合將回應任何收到的請求。
選擇 Create method (建立方法)。

建立並附加資源政策

請完成下列步驟：

開啟 API Gateway console (API Gateway 主控台)。
選擇您的 REST API。
在導覽窗格中，選擇 Resource policy (資源政策)。
選擇 Create policy (建立政策)。

在 Resource policy (資源政策) 中，輸入下列資源政策：

{  "Version": "2012-10-17",
  "Statement": [{
      "Effect": "Allow",
      "Principal": "*",
      "Action": "execute-api:Invoke",
      "Resource": "execute-api:/*/*/*"
    },
    {
      "Effect": "Deny",
      "Principal": "*",
      "Action": "execute-api:Invoke",
      "Resource": "execute-api:/*/*/*",
      "Condition": {
        "NotIpAddress": {
          "aws:SourceIp": ["sourceIpOrCIDRBlock", "sourceIpOrCIDRBlock"]
        }
      }
    }
  ]
}

**注意：**將 sourceIpOrCIDRBlock 替換為您要授予存取權的 IP 位址。使用 CIDR 標記法指定 IP 位址的範圍，例如 ["52.95.36.0/22", "15.230.39.196/31", "52.93.178.219/32"]。aws:SourceIp 條件僅適用於公有 IP 位址範圍。若要允許存取私有 IP 位址範圍，請使用 aws:VpcSourceIp 條件。在 aws:VpcSourceIp 中，輸入透過介面虛擬私有雲端 (VPC) 端點調用您私有 API 端點的 HTTP 用戶端私有 IP 位址。您只能透過介面 VPC 端點調用 API Gateway 中的私有 API 端點。