是否可以将 AppSync API 端点限制为仅在网络中？答案

【问题标题】：Is it possible to restrict the AppSync API endpoint to in network only?是否可以将 AppSync API 端点限制为仅在网络中？
【发布时间】：2018-05-15 16:07:31
【问题描述】：

我目前正在构建 AppSync API，并将实施 Cognito 池以进行授权。我注意到在构建 AppSync API 时创建了一个端点。看起来使用 API Gateway，您可以使用 VPC 限制对端点的公共访问。 AppSync 是否有类似的功能，因此公开的端点无法被公众访问？

https://aws.amazon.com/about-aws/whats-new/2017/11/amazon-api-gateway-supports-endpoint-integrations-with-private-vpcs/

一种想法是将 AppSync url 附加到不公开的自定义域。这可行吗？

【问题讨论】：

标签： amazon-web-services amazon-vpc aws-appsync

【解决方案1】：

使用 Cognito 用户池，如果您启用高级安全功能，您可以将身份验证限制在特定的网络地址范围内，因此您基本上可以限制您的用户只能从特定的网络位置进行身份验证。使用 AWS AppSync，目前无法限制对特定 IP 地址的访问，但这是我们正在考虑的一项功能。

有关使用 AppSync 的自定义域，您可以查看以下博客文章：

https://aws.amazon.com/blogs/mobile/use-a-custom-domain-with-aws-appsync-amazon-cloudfront-and-amazon-route-53/

【讨论】：

那么如果要求不允许公共 url，那么 AppSync 不是一个选项吗？或者为 appsync url 创建一个自定义域会满足这种需求吗？
此功能在我们的路线图中。我猜您是否不在乎 AppSync 生成的应用 URL 是否仍然可以访问。
此答案可能需要更新，因为使用 WAF，您确实可以在此处进行一些额外的控制。 docs.aws.amazon.com/appsync/latest/devguide/…。它仍然是公开的，但您可以阻止所有网络之外的内容。
对我来说，通过 PrivateLink（或 VPC 内部的其他机制）访问 AppSync API 与性能一样重要。如果我从我的 VPC 中的其他资源调用我的 AppSync API，我为什么要先遍历 Internet？感谢您在路线图上保持这一要求！