udhos/aws-api-gateway-private-invoke.md

## aws-api-gateway-private-invoke.md

      
    Raw
  

              aws-api-gateway-private-invoke.md
            
          
    1. Enable Private DNS Name

Na criação do VPC Endpoint, a opção Enable Private DNS Name:

Habilita esses DNS names privados no VPC:

  execute-api.us-east-2.amazonaws.com
*.execute-api.us-east-2.amazonaws.com


Porém a presença desses domínios privados impede a resolução de execute-api público no VPC.
Mesmo assim, ainda é possível chamar uma API pública pelo seu Custom Domain Name, se houver.
(Vide https://aws.amazon.com/premiumsupport/knowledge-center/api-gateway-vpc-connections/)

Com "Enable Private DNS Name", funcionam essas chamadas:
(6e5rf7yqo3 é o API ID)
Chamada baseada no hostname:

curl -v https://6e5rf7yqo3.execute-api.us-east-2.amazonaws.com/dev/get
(NOTA: a chamada baseada no hostname não precisa ignorar erro de certificado "curl -k", porque o certificado é emitido para *.execute-api.us-east-2.amazonaws.com)
Chamada baseada no Header x-apigw-api-id:

curl -v -k -H 'x-apigw-api-id:6e5rf7yqo3' https://execute-api.us-east-2.amazonaws.com/dev/get
2. Route53 alias

Após associar o API GW com o VPC endpoint (*), é possível chamar:
curl -v https://6e5rf7yqo3-vpce-0b7a22d021cc42f88.execute-api.us-east-2.amazonaws.com/dev/get
(*) https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-private-apis.html#associate-private-api-with-vpc-endpoint
3. endpoint-specific public DNS hostnames

NOTA: O hostname endpoint-specific funciona tanto pelo DNS público quanto pelo privado!
Pode ser chamado pelo Header "x-apigw-api-id"

curl -v -k -H 'x-apigw-api-id:6e5rf7yqo3' https://vpce-0b7a22d021cc42f88-gectb2xb.execute-api.us-east-2.vpce.amazonaws.com/dev/get
Também pode ser chamado pelo Header "Host":

curl -v https://vpce-0b7a22d021cc42f88-gectb2xb.execute-api.us-east-2.vpce.amazonaws.com/dev/get -H 'Host: 6e5rf7yqo3.execute-api.us-east-2.amazonaws.com'
(NOTA: a chamada baseada no hostname não precisa ignorar erro de certificado "curl -k", porque o certificado é emitido para *.execute-api.us-east-2.amazonaws.com)
Documentação:

https://docs.aws.amazon.com/apigateway/latest/developerguide/apigateway-private-api-test-invoke-url.html