AWS AmplifyからのリクエストのみAPIのアクセスを許可したい

前提・実現したいこと

お世話になっております。
AWS Amplify -> Webサーバー(Nginx: port80) -> APIサーバー(port: x000)の構成で設計しております。
APIは外部(例えばcurlなど)から叩けるようにしたくないので、AWS Amplifyからのリクエストのみを許可したいです。
しかし、下記の①・②の手法で検討しましたが、AWS Amplifyの特性上実現することができません。

発生している問題・エラーメッセージ

①
AWS AmplifyにはIPアドレスを識別する方法がなく、Nginxでブロックすることができません
AWS Amplifyにホスト名はあるのですが、Nginxの設定ではパフォーマンスの関係からホスト名を識別してブロックするのはできないようです
https://stackoverflow.com/questions/4246631/how-to-allow-from-hostname-in-nginx-config
やりたかった設定:

location / {
  allow xxx.xxxx.xxx.xxx;  
  deny all;
}

②
AWSのセキュリティグループ側でhogehoge_securiyに属するグループのみ、port80を許可させるにしても、AWS Amplifyとセキュリティグループを紐付けられないため、こちらの手法もとることができません。

上記設計の場合、どのようにしてAWS Amplifyのリクエストのみを許可することができますでしょうか？

plasticgrammer

2020/12/04 01:18

AWS Amplify をどのように利用しているのか、もう少し補足をお願いします。まず、AWS Amplify のJSライブラリを使っているという理解なのですが、各種モジュール (Auth、Analytics、Storage、API、Caching)のうち、「API」利用時の問題という理解で正しいでしょうか。

退会済みユーザー

2020/12/04 01:51

ご返信ありがとうございます。今回はVueを使用しており、API(REST)利用時の問題でございます。下記を読む限りですと、LambdaやDynamoDBが対象であり、RailsやDjangobのようなAPIの利用には適さないのでしょうか。 https://docs.amplify.aws/lib/restapi/getting-started/q/platform/js

plasticgrammer

2020/12/04 04:12

回答ありがとうございます。もう少し質問させてください。単純なAWS以外へのRESTリクエストを扱うだけであれば、Amplifyは大きすぎる気がするのですが、使用する理由はどのようなものでしょうか。 Auth（Cogitoによる認証）も使っていたりするのでしょうか。

yu_1985

2020/12/04 04:28

＞ AWS Amplifyにホスト名ここがちょっとわからないのですが、AmplifyのJSフレームワークを使ってフロントを構築したというだけという認識なので、結局そのフロントにアクセスできる任意のクライアントからのリクエストが飛んでくると思うのですが、これはそもそもの接続元を限定したい、という話ですか？

退会済みユーザー

2020/12/04 09:36

> 使用する理由はどのようなものでしょうか。 GitHubと連携したデプロイが簡単なので使用しています。分析や認証など使用しないので、仰るように使うには大きい気がしますが、他の方が選定しているので使っている状況でございます。 > Auth（Cogitoによる認証）も使っていたりするのでしょうか。使っておりません。 > AmplifyのJSフレームワークを使ってフロントを構築したというだけという認識なので、結局そのフロントにアクセスできる任意のクライアントからのリクエストが飛んでくると思うのですが、これはそもそもの接続元を限定したい、という話ですか？フロントには任意のIPからリクエストが飛びます。今回実現したいのは、AWS Amplify -> Webサーバーの経路のみ許可して、AWS Amplifyを介さないリクエストを制限したいです。

行動規範の内容に同意します

回答1件

ベストアンサー

「Amplifyのリクエスト」ということを保証する方法がない（知らないだけであったらすいません）と、難しいのでは…。

JSフレームワークである以上、結局クライアントのものにそのソースが渡るわけで、リクエストを送ってくるのはクライアントでしょう。
なので、Amplifyどうのこうのではなくクライアントの制限をしなければいけないのではと思います。
curlだろうがAmplify Frameworkだろうがなんだろうが、結局送られてくるのはHTTPリクエストなので。
UserAgentとかは容易に偽装可能なのと、結局ブラウザのUserAgentになるので意味ないですね。
Amplifyを使ったら経路が限定されるわけではないですし、対象のソースはそもそもクライアントに配信されるものなのでそこで絞るのは非現実的でしょう。

やりたいことを照らし合わせると、サイト全体に認証を挟むのが手っ取り早いと思います。
もしそもそも接続元が限定されているのであればALBを挟んでWAFと連携させて想定しない接続元を弾く、ということが出来ますが…。

ちなみに、本文中に書いてあるホスト名を識別して云々はnginxに限らず通常そんなことは出来ないです。
なんらかで名前解決してやれば行けるかもしれませんが、アクセスの都度DNSにクエリを投げるのはさすがに酷い実装（※）だと思いますし、じゃあhostsに書けば…と言っても、それだったらドメインで指定しないで最初からIPで書けばいいですよね。
※自サービスだけではなく、クエリを受け付けるDNSに無駄なリクエストが発生する

リクエストのヘッダに含まれるホスト名を識別したとしてもそれは接続元ではなく、向こうが送ってくるリクエストの内容がそうなっているというだけで、分かるのはIPですし、ルール設定も基本的にIPです。

投稿2020/12/04 11:22

yu_1985

総合スコア7447