1. 首先在 API Gateway 上创建 REST API，将 API 的所有请求都转发到一个 ALB 目标组上。
2. 在 ALB 目标组上创建至少两个目标，称为“正常目标”和“代理目标”。
3. 在 ALB 上配置一个给予代理目标访问的 IAM 角色。
4. 在 API Gateway 上启用端到端加密，并使用 aws:alb:target：Group 地址将请求转发到 ALB 上，同时通过“协议版本”设置将请求发送到代理目标。
5. 在 ALB 上配置一个请求路由规则，将接收到的请求发送到正常目标，或使用上述 IAM 角色将请求代理到代理目标。
6. 在代理目标上配置 TLS 握手证书并启动 TLS。
7. ALB 会添加安全标头以确保请求只通过 TLS 发送，从而实现端到端加密。

示例代码：

resource "aws_api_gateway_rest_api" "example" {
  name        = "example-api"
  description = "Example REST API"
}

resource "aws_api_gateway_resource" "example" {
  rest_api_id = aws_api_gateway_rest_api.example.id
  parent_id   = aws_api_gateway_rest_api.example.root_resource_id
  path_part   = "example"
}

resource "aws_api_gateway_method" "example" {
  rest_api_id   = aws_api_gateway_rest_api.example.id
  resource_id   = aws_api_gateway_resource.example.id
  http_method   = "GET"
  authorization = "NONE"
}

resource "aws_api_gateway_integration" "example" {
  rest_api_id             = aws_api_gateway_rest_api.example.id
  resource_id             = aws_api_gateway_resource.example.id
  http_method             = aws_api_gateway_method.example.http_method
  integration_http_method = "POST"
  type                    = "AWS_PROXY"
  uri                     = "arn:aws:apigateway::lambda:path/2015-03-31/functions//inv