0
1.2K
Visualizaçõesaws cloudfront api endpoint respondiendo con Forbidden(403)
Tengo una función lambda detrás de una puerta de enlace api. Esto funciona bien cuando se activa con una URL de invocación. La URL de invocación es el enlace que se ofrece en la pestaña de método en las etapas.
Estoy enviando una solicitud al recurso como se muestra a continuación, y esto funciona bien. 
Quiero configurar un dominio personalizado para mi API, así que seguí el procedimiento estándar para configurar un certificado ACM. Además de eso, configuré el dominio (api.tarkshala.com) en route53. Verifique las capturas de pantalla que se dan a continuación.
Certificado ACM importado 
Mapeo de dominio personalizado 
Nombre de dominio mapeado en route53 
Pero cuando accedo a la API usando el enlace de cloudfront (d3pn2j4magp6tp.cloudfront.net) o el nombre de dominio (api.tarkshala.com) usando POSTMAN, termina en 403 Forbidden .
No sé qué me estoy perdiendo exactamente.
El encabezado de respuesta tiene el siguiente aspecto:
Connection →keep-alive Content-Length →23 Content-Type →application/json Date →Fri, 13 Apr 2018 03:17:25 GMT Via →1.1 a1cf0e6cf29b584b5fe1ada9ccee9758.cloudfront.net (CloudFront) X-Amz-Cf-Id →9Jh5HeQIuDNfm5WGlTae34oYZ7BiN3nI2VlH_8PJHLQ0mr2C20njJQ== X-Cache →Error from cloudfront x-amz-apigw-id →FQoiyF1phcwFVrg= x-amzn-ErrorType →ForbiddenException x-amzn-RequestId →3013c239-3ec9-11e8-abe6-53449bcfc96cRespuesta:
{ "message": "Forbidden" }1 Respostas
Responde à pergunta0
La documentación no parece mencionar un aspecto importante de la configuración de la distribución de CloudFront asociada con un punto final de API Gateway... parece que solo se puede inferir:
Cuando crea un nombre de dominio personalizado para una API optimizada para el borde, API Gateway configura una distribución de CloudFront. Pero debe configurar un registro DNS para asignar el nombre de dominio personalizado al nombre de dominio de distribución de CloudFront [en orden] para que las solicitudes de API vinculadas al nombre de dominio personalizado se enruten [correctamente] a API Gateway a través de la distribución de CloudFront asignada [y se comprendan cuando llegan] . También debe proporcionar un certificado para el nombre de dominio personalizado. (énfasis agregado, las palabras entre paréntesis son mías, agregadas para mayor claridad)
https://docs.aws.amazon.com/apigateway/latest/developerguide/how-to-custom-domains.html
Internamente, las distribuciones de CloudFront tienen dos formas de manejar el encabezado de Host que llega en la solicitud entrante: CloudFront puede entregar el encabezado de Host enviado por el navegador, si está en una lista de valores esperados, o siempre puede pasar un único valor estático. al origen de back-end que se deduce de la configuración de origen.
Para las distribuciones de CloudFront administradas por API Gateway, la configuración aparentemente pasa a través de lo que envía el navegador, lo que tiene mucho sentido porque la otra alternativa requeriría que API Gateway realice una manipulación adicional de la solicitud entrante que sería enrevesada y complicado, por decir lo menos.
Por lo tanto, para probar un nombre de dominio personalizado en una implementación de API Gateway, el solicitante debe incluir el nombre de dominio personalizado como encabezado de Host HTTP. El nombre de host de destino del alias de cloudfront.net se usa solo para el mapeo de DNS; no es un nombre de host alternativo que API Gateway realmente asocia con su etapa implementada al procesar las solicitudes entrantes.
Si su nombre de dominio personalizado apunta al nombre de dominio "objetivo" en DNS y accede a la API a través del dominio personalizado, todo esto sucede automáticamente. De lo contrario, puede configurar el encabezado del Host manualmente, para realizar pruebas, si la herramienta que está utilizando lo permite.