API Gateway:IPアドレスベースのアクセス制御プラグイン

1. 概要

IPアドレスベースのアクセス制御プラグインを設定する場合、2つの制御モードを使用できます。

• 許可: 許可モードでは、指定したIPアドレスからのリクエストを許可するようにホワイトリストを設定できます。 次のタイプのホワイトリストがサポートされています。

  • 許可されたIPアドレスのみを含むホワイトリストを設定できます。 この場合、ホワイトリスト内のIPアドレスからのAPIリクエストのみが許可されます。

  • アプリケーションとそのIPアドレスを指定するホワイトリストを設定できます。 この場合、各アプリケーションは、ホワイトリスト内のIPアドレスからのみAPIリクエストを送信できます。

• 拒否: 拒否モードでは、IPアドレスブラックリストを設定できます。 API Gatewayは、ブラックリスト内のIPアドレスからのすべてのAPIリクエストを拒否します。

2. 設定

IPアドレスベースのアクセス制御プラグインをJSONまたはYAML形式で設定できます。 2つの形式は同じスキーマを持ち、変換ツールを使用して互いに変換できます。 次のコードでは、YAML形式のプラグイン構成テンプレートについて説明し。

---
type: ALLOW           # The control mode. You can set this parameter to ALLOW to apply a whitelist or REFUSE to apply a blacklist.
resource: "XFF:-1"   # Optional. If this field is set, an IP address in the X-Forwarded-For header is used as the source IP address. In this example, the last IP address in the X-Forwarded-For header is used as the source IP address. 
items: 
- blocks:         # A CIDR block from which API requests are allowed.
  - 61.3.XX.XX/24   # Specify a CIDR block.
  appId: 219810   # Optional. If you specify appId, the CIDR block applies only to the application indicated by appId.
- blocks:         # An IP address from which API requests are allowed.
  - 79.11.XX.XX    # Specify an IP address.
- blocks:         # The CIDR block of a virtual private cloud (VPC) from which API requests are allowed.
  - 192.168.XX.XX/32    # Specify the CIDR block of a VPC. This item applies only to dedicated instances. When an API request is sent from a VPC to a dedicated instance, the source IP address of the API request is in the specified CIDR block.

最後のコメントに特に注意してください。 専用インスタンスを使用する場合、API GatewayはVPCからのAPIリクエストを許可し、ソースVPCのIPアドレス (192.168.XX.XXなど) を直接読み取ることができます。 ブラックリストまたはホワイトリストでVPCのIPアドレスを直接設定できます。

3. WAFが使用されている場合

Web Application Firewall (WAF) などのミドルウェアサービスが使用されるシナリオで、特定のAPIのブラックリストまたはホワイトリストを構成する場合は、リソースフィールドを指定する必要があります。 リソースフィールドを指定しないままにすると、WAFが提供するIPアドレスが送信元IPアドレスと見なされます。 リソースフィールドを指定すると、X-Forwarded-Forヘッダーの値が送信元IPアドレスとして使用されます。

4. クロスVPCアクセス

APIリクエストがVPCから別のVPCの専用インスタンスに送信された場合、API GatewayはリクエストからソースVPCのIPアドレスを直接読み取ることができます。 VPCでIPアドレス用のプラグインを準備するときに安心できます。 API Gatewayは、ソースVPCのIDを読み取ることもできます。 指定されたVPCのみがAPIにアクセスできるように、パラメーターベースのアクセス制御プラグインを設定できます。

5. WAFが使用されている場合のクロスVPCアクセス

特定のシナリオでは、APIはパブリックと内部の呼び出し元に同時にサービスを提供し、WAFはパブリック呼び出し元に設定されます。 この場合、API Gatewayを使用して、内部IPアドレスとWAFに先行するパブリックIPアドレスの両方を制御する必要があります。 API Gatewayは、リソースフィールドとallowResourceMissingフィールドを組み合わせて使用するというシナリオに適したソリューションを提供します。 リソースフィールドは、WAFに先行するパブリックIPアドレスを制御するためにX-Forwarded-Forヘッダーで使用されます。 allowResourceMissingフィールドは、X-Forwarded-Forヘッダーが渡されない場合に内部IPアドレスを制御するために使用されます。この場合、クライアントIPアドレスはソースIPアドレスと見なされます。 例：

---
type: ALLOW           # The control mode. You can set this parameter to ALLOW to apply a whitelist or REFUSE to apply a blacklist.
resource: "XFF:-1"   # Optional. If this field is set, an IP address in the X-Forwarded-For header is used as the source IP address. In this example, the last IP address in the X-Forwarded-For header is used as the source IP address.
allowResourceMissing: "true"  # Uses the IP address directly preceding API Gateway as the source IP address when the resource field is left empty.
items: 
- blocks:         # A CIDR block from which API requests are allowed.
  - 61.3.XX.XX/24   # Specify a CIDR block.
  appId: 219810   # Optional. If you specify appId, the CIDR block applies only to the application indicated by appId.
- blocks:         # An IP address from which API requests are allowed.
  - 79.11.XX.XX    # Specify an IP address.
- blocks:         # The CIDR block of a VPC from which API requests are allowed.
  - 192.168.XX.XX/32    # Specify the CIDR block of a VPC. This item applies only to dedicated instances. When an API request is sent from a VPC to a dedicated instance, the source IP address of the API request is in the specified CIDR block.