一、背景
Amazon API Gateway（以下简称）是AWS的托管的API网关服务。许多企业需要将自身应用的数据接口暴露给第三方合作伙伴，但使用专线成本较高，或者因面向多个互联网服务交互，因此将接口暴露在互联网上。为提升接口安全性，可采用为API Gateway设置来源IP地址限制的办法，提升安全。API Gateway支持设置Resource Policy，通过资源策略中填写IP Condition来限制可以访问的IP访问，包括白名单允许，或者显式拒绝。
使用API Gateway自带的策略控制IP地址有一些局限，因为资源策略是随着API Gateway的部署Stages下发生效的，因此有时候仅需要IP地址的策略变更，但是为了让其生效，需要对整个接口开发的版本和Stages阶段创建新的版本，并进行流量切换。如此过程对整个应用开发和运行体系的影响较大。那么有什么办法实施Out-of-band方式（带外）的IP策略管控呢？这里就可以用到Amazon WAF。