API Gateway:Utiliser une ressource dans un VPC comme service principal d'une API

Contraintes et ressources prises en charge

API Gateway permet de créer des APIs pour des ressources déployées au sein de VPCs. Avant qu'API Gateway ne puisse atteindre une ressource du VPC, vous devez lui accorder un accès explicite via une autorisation d'accès VPC.

• Seules les instances CLB internes sont prises en charge. Les instances CLB publiques ne peuvent pas être utilisées comme services principaux de type VPC.

• L'accès est spécifique à un port. L'autorisation du port 80 d'une instance CLB n'accorde pas l'accès à tout autre port de cette instance.

• L'autorisation couvre uniquement la ressource et le port que vous spécifiez ; elle n'expose pas les autres ressources du VPC.

• Si votre instance CLB dispose d'une liste de contrôle d'accès configurée, ou si vos instances ECS comportent des règles de groupe de sécurité, vous devez ajouter les adresses IP sortantes d'API Gateway à la liste des adresses autorisées.

1. Autoriser API Gateway à accéder aux ressources d'un VPC

Pour créer une API s'appuyant sur une ressource VPC, commencez par autoriser API Gateway à accéder à cette ressource en spécifiant la ressource et un port, par exemple le port 443 d'une instance CLB ou le port 80 d'une instance ECS.

Après l'autorisation :

• API Gateway peut atteindre la ressource via le port spécifié.

• L'autorisation s'applique uniquement aux appels d'API ; elle n'accorde pas un accès réseau plus large au VPC.

• API Gateway ne peut accéder à la ressource que via le port autorisé. Par exemple, l'autorisation du port 80 d'une instance CLB signifie qu'API Gateway ne peut atteindre cette instance CLB que sur le port 80.

Types de ressources principales pris en charge :

• Instance ECS : Dans la boîte de dialogue Créer un accès VPC, saisissez l'ID de l'instance ECS ou son adresse IP privée dans le champ Instance ID or IP Address.

• Instance CLB : Seules les instances CLB internes sont prises en charge. Saisissez l'ID de l'instance CLB ou son adresse IP privée dans le champ Instance ID or IP Address.

2. Construire une architecture haute disponibilité

Utilisez une instance CLB interne comme service principal pour distribuer le trafic entre plusieurs instances ECS selon votre politique de transfert. Cette approche améliore à la fois les performances du système et la disponibilité de l'application.

Avant de commencer, assurez-vous de disposer des éléments suivants :

• Un VPC dans la région où vous souhaitez déployer le service principal

• Au moins une instance ECS dans ce VPC avec votre application (cet exemple utilise Nginx)

• Une instance CLB interne dans le même VPC, configurée pour écouter sur le port 80 des instances ECS

2,1 Créer des instances dans un VPC

Achetez et créez une instance CLB interne ainsi qu'une ou plusieurs instances ECS dans le même VPC. Dans cet exemple, l'instance CLB transfère le trafic sur le port 80 vers des instances ECS exécutant Nginx.

2,2 Autoriser API Gateway à accéder au VPC

1. Connectez-vous à la console API Gateway.

2. Dans le volet de navigation de gauche, choisissez Manage APIs > VPCs.

3. Sur la page VPC Access Authorizations, cliquez sur Create Authorization.

4. Dans la boîte de dialogue Create VPC Access, configurez les paramètres suivants : VPC Access Name, VPC Id, Instance ID or IP Address et Port Number.

5. Si vous devez spécifier un nom de domaine d'hôte virtuel (vhost) pour accéder à un site sur l'instance CLB ou ECS, saisissez-le dans le champ Host.

   Remarque

   VPC Access Name est l'identifiant de cette entrée d'autorisation. Vous le sélectionnerez par son nom lors de la création d'une API. Utilisez donc un nom unique au sein d'API Gateway pour simplifier la gestion future.

2,3 Créer une API

La création d'une API avec un service principal de type VPC suit la même procédure que celle des APIs avec d'autres types de services principaux. Pour plus de détails, consultez Créer une API.

Pour une procédure complète incluant la création et l'autorisation d'une application, consultez Créer une API avec un service dans un VPC comme service principal.

2,4 Tester l'API

Testez l'API en utilisant l'une des méthodes suivantes :

• Déboguer l'API dans la console API Gateway

• Utiliser un SDK pour appeler une API

• Appeler une API avec un AppCode

2,5 Configurer la sécurité

API Gateway atteint les services principaux du VPC via le réseau interne. Si votre instance CLB interne dispose d'une liste de contrôle d'accès configurée, ou si vos instances ECS comportent des règles de groupe de sécurité, ajoutez les adresses IP sortantes d'API Gateway à la liste des adresses autorisées.

• Instances CLB : Ajoutez les adresses IP sortantes à la configuration du contrôle d'accès CLB. Pour plus de détails, consultez la rubrique Activation du contrôle d'accès dans la documentation CLB.

• Instances ECS : Ajoutez une règle de groupe de sécurité pour autoriser le trafic entrant provenant des adresses IP sortantes d'API Gateway. Pour plus de détails, consultez Ajouter une règle de groupe de sécurité.

Pour obtenir les adresses IP sortantes d'API Gateway, consultez Créer une API avec une ressource dans un VPC comme service principal.

FAQ

API Gateway prend-il en charge les instances CLB publiques ?

Non. API Gateway ne prend en charge que les instances CLB internes pour les services principaux de type VPC. Pour acheminer le trafic vers une instance CLB publique, créez plutôt une API avec un service principal HTTP/HTTPS.

Puis-je autoriser API Gateway à accéder à plusieurs VPCs ?

Oui. Créez une entrée d'autorisation distincte pour chaque VPC dans la console API Gateway. API Gateway pourra alors utiliser les ressources de n'importe quel VPC autorisé comme services principaux.

Pourquoi ne puis-je pas autoriser API Gateway à accéder à un VPC ?

Vérifiez les points suivants :

• L'ID du VPC est correct.

• L'ID de l'instance ou l'adresse IP de la ressource principale est correct.

• Le numéro de port correspond à celui sur lequel écoute le service principal.

• L'entrée d'autorisation est créée dans la même région que le VPC.

Une autorisation d'accès VPC affecte-t-elle la sécurité de mon VPC ?

• Non. API Gateway ne peut appeler les ressources de votre VPC qu'après que vous l'avez explicitement autorisé.

• Seule l'instance API Gateway autorisée peut appeler ces ressources.

• Vous pouvez restreindre davantage l'accès en configurant des politiques de contrôle d'accès sur les instances ECS ou CLB utilisées comme services principaux.

API Gateway prend-il en charge les VPCs situés dans différentes régions ?

Oui. Utilisez Cloud Enterprise Network (CEN) pour connecter API Gateway aux VPCs d'autres régions. Pour les détails de configuration, consultez Présentation de CEN.