API Gateway 没有静态 IP，ALB 目前不提供除 Cognito 用户池以外的任何身份验证。因此，我认为您最好的选择是在提出建议时使用带有 Network Load Balancer 的 VPC 链接，并通过 NLB 将请求通过隧道传输到 ALB。

或者，您可以让 VPC 中的 Lambda 调用 ALB，但这会慢得多，但对于低容量来说更便宜，因为您跳过了 NLB。

根据用例，一种可能性是使用客户端 SSL 证书保护您的后端而不是 ALB。生成并配置用于后端身份验证的SSL证书

使用WAF验证API GW中设置的自定义HTTP Header值

在 API GW HTTP 集成方法的集成请求中注入自定义 HTTP 头。按照 Amazon API Gateway API 请求和响应数据映射参考中的说明使用静态值。

'STATIC_VALUE'。STATIC_VALUE是字符串文本，必须括在一对单引号内。

与AWS文档一样，我们是否应该使用“integration.request.header.”格式是令人困惑的。如果在 AWS 控制台中进行设置，则无需键入“integration.request.header”。只需键入标头名称即可。确保标头值为单引号

但是，当使用 CDK 或 CFN 等工具时，我们需要使用“integration.request.header.”部分。

cdk_api_method: aws_apigateway.Method = cdk_api_resource.add_method(
    http_method="post",
    integration=aws_apigateway.HttpIntegration(
        url=url,
        http_method="post",
        proxy=True,
        options=aws_apigateway.IntegrationOptions(
            request_parameters={
                "integration.request.header.{}".format(HTTP_HEADER_X_VALIDATION_CLIENT_NAME): "'{}'".format(HTTP_HEADER_X_VALIDATION_CLIENT_VALUE)
            }
        )
    )
)

设置 WAF 以验证 HTTP 标头值并将 ALB 关联到 WAF ACL。

# https://github.com/aws-samples/wafv2-json-yaml-samples/blob/master/JSON/rule-001.json
aws_wafv2.CfnWebACL.RuleProperty(
    name='header-x-validation-client',
    action=aws_wafv2.CfnWebACL.RuleActionProperty(
        allow={}
    ),
    statement=aws_wafv2.CfnWebACL.StatementOneProperty(
        byte_match_statement=aws_wafv2.CfnWebACL.ByteMatchStatementProperty(
            field_to_match=aws_wafv2.CfnWebACL.FieldToMatchProperty(
                single_header={
                  "Name": HTTP_HEADER_X_VALIDATION_CLIENT_NAME
                }
            ),
            positional_constraint="EXACTLY",
            search_string=HTTP_HEADER_X_VALIDATION_CLIENT_VALUE,
            text_transformations=[
                aws_wafv2.CfnWebACL.TextTransformationProperty(
                    priority=0,
                    type="NONE"
                )
            ]
        )
    ),
    visibility_config=aws_wafv2.CfnWebACL.VisibilityConfigProperty(
        sampled_requests_enabled=True,
        cloud_watch_metrics_enabled=True,
        metric_name='waf-rule-header-x-validation-client'
    ),
    priority=0
)