Amazon API Gateway プライベート API の「プライベート」を誤解してると、とても危ないという話。 | DevelopersIO

API Gateway にはパブリック API と、プライベート API が作成できますが、「プライベート」という言葉を正しく理解していますでしょうか？ 「自分の AWS アカウント内からのみアクセスできる API でしょ？」 と考えたあたなに質問です。図にすると、このようなイメージでしょうか？ あなたのアカウント内にプライベートな API Gateway が存在し、他の AWS アカウントから接続するには承認しないと接続できない。それが「プライベート」だと。 このようにお考えの場合、API Gateway にはリソースポリシーでアクセス元を制限したり、API Gateway で認証なども実装できますが「今回はプライベートなので、特に制限は必要ありません。」と考え、以下のようなリソースポリシーを設定していたりするでしょうか？ { "Version": "2012-10-17", "Stat

[ryonext]

ほんまそれ。

[JULY]

説明されると「なるほど！」と思うけど、結構、盲点だな。Principal の指定をさぼると、他の AWS アカウントからアクセスできる。

[tmatsuu]

ナイスキャッチ

[marumo1981]

AWSのプライベートネットワーク内で全公開！みたいな設定なっている環境がありそうだと思って書いた。