API Gatewayを通過しないリクエストをAWS WAFにてブロックしてみた

ALBへの直接アクセスを許したくないけど、アクセス元のIPアドレスが多岐に渡るパターンなどで有効です

#Amazon API Gateway

#AWS WAF

#AWS

荒平祐次(arap)

2023.11.13

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは、AWS事業本部の荒平(@0Air)です。

タイトル通り、API Gatewayを通過しないリクエストをAWS WAFでブロックして、ALBへの直接アクセスを防いでみました。

本構成の経緯として、以下のブログにてAPI Gateway+NLB+ALBの構成を実装していたのですが、アプリケーション側から見たアクセス元がNLBのインターナルなIPアドレスとなってしまい、アプリケーション側で不具合が出てしまったため、別の方策を考える必要がありました。

今回紹介する方法を使えば、バックエンド側から見たアクセス元はAPI GatewayのIPとなり、ローカルアクセスの判定をされません。また、最低限のセキュリティを担保するために、ALBへの不特定アクセスを回避します。

構成図

今回の実装では、API GatewayのNLB統合を利用せずに、ALB側でもセキュリティグループをオープンにする方法で解決を目指しました。
API Gatewayを通過するリクエストは、x-amzn-apigateway-api-id というヘッダーが付与される仕様を利用します。

やってみた

1. 事前準備（API Gateway・ALB/Lambdaの作成）

ALBを作成し、HTTP:80を0.0.0.0/0に向けて開放します。Target Groupは今回Lambdaを指定して作成しました。

ターゲット先のLambdaサンプルは以下のようにしました。BODYとヘッダーの情報を返すシンプルなものです。

import json

def lambda_handler(event, context):
    body = event.get("body")
    headers = event.get("headers")

    response = {
        "statusCode": 200,
        "body": json.dumps({
            "received_body": body,
            "received_headers": headers
        }),
        "headers": {
            "Content-Type": "application/json"
        }
    }

    return response

API Gatewayをデプロイし、GETメソッドのリクエスト先に作成したALBを設定します。
API GatewayのIDは後ほど利用するため、控えておきます。
（例：ARNがarn:aws:execute-api:ap-northeast-1:{アカウントID}:bjon5wzrpd/* の場合、bjon5wzrpdの部分）