AWS API网关使用私有证书将请求转发到HTTPS服务器

Question

这是我的情况：我正在尝试设置AWS API Gateway，以便将对API Gateway端点的所有调用都转发到它后面的Nginx HTTPS服务器：

          HTTPS                HTTPS                    HTTPS                plain HTTP
[Client] ------> {{Internet}} -----> [AWS API Gateway] -----> [HTTPS server] ----------> [Internal web services]

仅HTTPS服务器可以访问专用网络内部的内部Web服务。 HTTPS服务器本身以及AWS API网关均可在Internet上公开访问。

现在，我在HTTPS服务器上安装的SSL证书是私有证书，由我创建的私有CA签名。

See my AWS API Gateway config here

[当AWS API网关尝试通过指向服务器的HTTPS终结点URL将HTTPS请求转发到HTTPS服务器时，AWS API网关会收到错误：

"Execution failed due to configuration error: General SSLEngine problem"

也许是因为AWS API Gateway无法识别我的私有CA。如果是这样，该如何将我的私有CA导入到AWS API Gateway中？

编辑：我的目的是，AWS API Gateway必须使用API​​ Gateway的客户端证书向HTTPS服务器进行身份验证。

Answer 1

您不能在API Gateway中使用自签名证书。如果您的API网关仅用于与服务器对话，那么请看一下在本地EC2实例上使用certbot。

或者，如果您想增加安全性，则可以执行以下操作。

将EC2实例迁移到专用子网中。
• 通过ACM导入或创建新证书。
• 使用您在ACM中设置的证书，使用TLS侦听器创建内部网络负载平衡器。
• 创建VPCLink，以便您的API网关可以访问您的内部NLB。