amazon web services - domain - ¿Cómo se agrega CloudFront frente a API Gateway?

api gateway set custom domain name

Question

API Gateway (APIG), mientras usa CloudFront (CF), no admite caché de CDN. Cuando configuré una distribución de CF para utilizar APIG como el origen personalizado, obtengo un error de permiso denegado.

¿Cómo configuro CF para arreglar esto?

Answer 1

Hasta API Gateway (APIG) admite caché de borde mediante su uso interno de CloudFormation (CF), he encontrado una solución alternativa.

De hecho, puede poner CF dist frente a APIG, el truco es forzar HTTPS solo "Política de protocolo de visor" Y no reenviar el encabezado HOST porque APIG necesita SNI.

Configuré mi CF "Configuración predeterminada de comportamiento de caché" para no reenviar encabezados, y forcé "Política de protocolo de visor" a "HTTPS solamente" y funciona. Espero que esto ayude a otros.

Aquí hay un objeto de recurso de CloudFormation que tiene toda la configuración requerida (Nota: utilizo la convención <stage>--<app name> para StackName):

CloudFront:  
    Type: AWS::CloudFront::Distribution
    Properties:
      DistributionConfig:
        Enabled: true
        IPV6Enabled: true
        HttpVersion: http2
        Comment: !Join [ ''--'', [!Ref ''AWS::StackName'', '' Cloud Front'']]
        Aliases: [!Ref CloudFrontCname]
        ViewerCertificate:
          AcmCertificateArn: !Ref AcmCertificateArn
          SslSupportMethod: sni-only
        Origins:
        - Id: APIGOrigin
          DomainName: !Sub
            - ${apigId}.execute-api.${AWS::Region}.amazonaws.com
            - { apigId: !Ref ApiGatewayLambdaProxy }
          OriginPath: !Sub
            - /${Stage}
            - { Stage: !Select [ "0", !Split [ ''--'', !Ref ''AWS::StackName'' ] ] }
          CustomOriginConfig:
            # HTTPPort: 80
            HTTPSPort: 443
            OriginProtocolPolicy: https-only
          OriginCustomHeaders:
            - HeaderName: ''Verify-From-Cf''
              HeaderValue: !Ref VerifyFromCfHeaderVal
        DefaultCacheBehavior:
          AllowedMethods: ["DELETE", "GET", "HEAD", "OPTIONS", "PATCH", "POST", "PUT"]
          CachedMethods: ["GET", "HEAD", "OPTIONS"]
          ForwardedValues:
            Headers:
            - Access-Control-Request-Headers
            - Access-Control-Request-Method
            - Origin
            - Authorization
            # - Host APIG needs to use SNI
            QueryString: true
          TargetOriginId: APIGOrigin
          ViewerProtocolPolicy: https-only
          Compress: true
          DefaultTTL: 0
        CustomErrorResponses:
        - ErrorCachingMinTTL: 0
          ErrorCode: 400
        - ErrorCachingMinTTL: 1
          ErrorCode: 403
        - ErrorCachingMinTTL: 5
          ErrorCode: 500
  DNSARecord:    
    Type: AWS::Route53::RecordSet
    Properties:
      Comment: !Ref ''AWS::StackName''
      Name: !Ref CloudFrontCname
      Type: A
      HostedZoneName: !Join [''.'', [ !Select [1, !Split [''.'', !Ref CloudFrontCname]], !Select [2, !Split [''.'', !Ref CloudFrontCname]], '''']]
      AliasTarget:
        HostedZoneId: !Ref Route53HostedZoneId
        DNSName: !GetAtt CloudFront.DomainName
  DNSAAAARecord:    
    Type: AWS::Route53::RecordSet
    Properties:
      Comment: !Ref ''AWS::StackName''
      Name: !Ref CloudFrontCname
      Type: AAAA
      HostedZoneName: !Join [''.'', [ !Select [1, !Split [''.'', !Ref CloudFrontCname]], !Select [2, !Split [''.'', !Ref CloudFrontCname]], '''']]
      AliasTarget:
        HostedZoneId: !Ref Route53HostedZoneId
        DNSName: !GetAtt CloudFront.DomainName

Actualizaciones :

1. OriginProtocolPolicy a https-only
2. ¡Ahora usando YML!
3. Más ejemplos preparados para la producción (solo SSL, DomainName no codificado, encabezado personalizado para verificar las solicitudes a través de CloudFront, CustomErrorResponses , Edge Gzip, Caching OPTIONS )

Answer 2

Si API Gateway devuelve un error 403 con:

El encabezado de autorización requiere el parámetro ''Credencial''. El encabezado de autorización requiere el parámetro ''Firma''. El encabezado de autorización requiere el parámetro ''SignedHeaders''. El encabezado de autorización requiere la existencia de un encabezado ''X-Amz-Date'' o ''Date''.

también puede ser que el punto final de origen sea incorrecto. Curiosamente, "API Gateway trata todos los errores de rutas inexistentes como 403 errores denegados de permiso en lugar de un error 404 no encontrado". (mira este hilo de soporte ).

Obtuve este error y asumí que estaba reenviando incorrectamente el encabezado Authorization, pero simplemente configuré mal la ruta de origen.