2023.02.11

【AWS】ECS(VPC内)からPublicなAPI Gatewayにアクセスできない(403エラー)

AWS 　　　

ECS(VPC内)からPublicなREST API gatewayにアクセスしようとしたとき、403エラーが発生してしまいました。その際の解決方法についてメモ書きします。

通信経路は次のルールを想定していました。
ECS(VPC内) --> NATGateWay--> PublicなREST APIGateWay

原因

APIGateWay用のVPCエンドポイントがアタッチされていたことが原因でした。
アタッチされていたVPCエンドポイントは次の経路で通信を行う際は必要です。

ECS(VPC内) --> プライベートなREST APIGateWay
参考: マニュアル

ただ、このVPCエンドポイントを作成してVPCに紐づけると、名前に~.execute-api.<リージョン名>.amazonaws.comとつくURLは全てプライベートアクセスの通信として処理されます。

VPC エンドポイントでプライベート DNS が有効になっている場合、API の呼び出し URL はプライベート DNS 名 *.execute-api.us-east-1.amazonaws.com でカバーされます。ここで、* は API ID のプレースホルダーです。DNS クエリが VPC 内からパブリック API に対して解決されると、解決された DNS は、パブリック API のパブリック IP ではなく、関連付けられた VPC エンドポイントのプライベート IP をポイントします。API コールは、インターネット経由でルーティングされるのではなく、VPC エンドポイントを介してパブリック API にルーティングされます。VPC エンドポイントはトラフィックをプライベート API にしかルーティングできないため、結果として HTTP 403 エラーが表示されます。

引用: マニュアル

下記はAPIGateWay用のVPCエンドポイントの作成例です。