Como soluciono erros HTTP 403 do API Gateway?

Breve descrição

Um código de resposta HTTP 403 significa que um cliente está proibido de acessar um URL válido. O servidor entende a solicitação, mas não consegue atendê-la devido a problemas do lado do cliente.

As APIs do API Gateway podem retornar respostas 403 por qualquer um dos seguintes motivos:

Resolução

Considere a origem do erro

Se o erro 403 tiver sido relatado por outros recursos, talvez haja uma causa diferente para o erro. Por exemplo:

• Se o erro foi relatado em um navegador da Web, esse erro pode ter sido causado por uma configuração incorreta do proxy. O servidor proxy retornará um erro 403 se o acesso HTTP não for permitido.
• Se houver outro serviço da AWS na frente da API, esse serviço poderá rejeitar a solicitação com um erro 403 na resposta. Por exemplo: Amazon CloudFront.

Identifique o que está causando o erro

Se você ainda não o fez, configure o registro em log de acesso do Amazon CloudWatch para sua API. Em seguida, visualize os logs de execução da sua API no CloudWatch para determinar se as solicitações estão chegando à API.

Observação: as APIs HTTP não oferecem suporte a registro em log de execução. Para solucionar erros 403 retornados por um nome de domínio personalizado que exige TLS mútuo e invoca uma API HTTP, é preciso fazer o seguinte:

1.Crie um novo mapeamento de API para seu nome de domínio personalizado que invoque uma API REST apenas para fins de teste.

2.Identifique o que está causando os erros visualizando os logs de execução da API REST no CloudWatch.

3.Depois que o erro for identificado e solucionado, redirecione o mapeamento da API do seu nome de domínio personalizado de volta para a API HTTP.

Confirme se o recurso solicitado existe na definição da API

Observação: se você receber erros ao executar comandos da AWS Command Line Interface (AWS CLI), verifique se está usando a versão mais recente da AWS CLI.

Verifique o seguinte usando o console do API Gateway ou a AWS CLI:

• A API foi implantada com a definição de API mais recente.
• O recurso solicitado existe na definição da API.

Use curl para obter detalhes de solicitação e resposta

Se o erro puder ser reproduzido, use o comando curl -v para obter mais detalhes entre o cliente e a API, como o seguinte:

curl -X HTTP_VERB -v https://{api_id}.execute-api.{region}.amazonaws.com/{stage_name}/{resource_name}

Observação: para obter mais informações, consulte o site do projeto curl.

Verifique se o cabeçalho da solicitação está correto

Se o erro for resultado de uma chave de API inválida, verifique se o cabeçalho "x-api-key" foi enviado na solicitação.

Verifique se a configuração de DNS em todos os endpoints da Amazon VPC da interface está definida corretamente

Observação: confirme o seguinte para as APIs invocadas de uma Amazon VPC que tem somente um endpoint da VPC da interface.

Verifique se a configuração de DNS do endpoint de interface está definida corretamente com base no tipo de API em utilização.

Lembre-se:

• Para invocar uma API regional de dentro de uma Amazon VPC, os nomes DNS privados devem ser desativados no endpoint de interface. Em seguida, o nome do host do endpoint pode ser resolvido por um DNS público. Para obter mais informações, consulte Criar uma API privada no Amazon API Gateway.
• Para invocar uma API privada de dentro de uma Amazon VPC usando o nome DNS privado da API, os nomes DNS privados devem estar ativados no endpoint de interface. Em seguida, o nome do host do endpoint de interface pode ser resolvido para os recursos de sub-rede locais do Amazon VPC. Para obter mais informações, consulte Como invocar uma API privada.
  Observação: você não precisa configurar um DNS privado se estiver invocando a API privada por meio de um dos seguintes procedimentos:
  O nome DNS público da API privada.
  -ou-
  Um alias do Amazon Route 53.

Examine a política de recursos da API

Examine a política de recursos da API para verificar o seguinte:

• (Para APIs invocadas a partir de uma Amazon VPC com um endpoint da VPC de interface) A política de recursos da API concede à Amazon VPC ou ao endpoint de interface acesso à API.
• As especificações e a formatação dos recursos da política de recursos estão corretas.
  Observação: não há validação das especificações do recurso quando uma política de recursos é salva. Para obter exemplos, consulte Exemplos de política de recursos do API Gateway.
• O chamador tem permissão para invocar o endpoint da API pelo tipo de autenticação que você definiu para a API. Para obter mais informações, consulte Como as políticas de recursos do API Gateway afetam o fluxo de trabalho de autorização.

Examine as mensagens de solicitação e resposta HTTP

Reproduza o erro em um navegador da Web, se possível. Em seguida, use as ferramentas de rede do navegador para capturar as mensagens de solicitação e resposta HTTP e examiná-las para determinar onde o erro ocorreu.

Observação: para análise off-line, salve as mensagens em um arquivo HTTP Archive (HAR).

Informações relacionadas

Erros comuns - Amazon API Gateway

Como faço para permitir que somente endereços IP específicos acessem minha API REST do API Gateway?

Como soluciono problemas ao me conectar a um endpoint de API privada do API Gateway?

Como faço para ativar o CloudWatch Logs para solucionar problemas com minha API REST do API Gateway ou API WebSocket?