サイトにIP制限をかけつつAPIだけはかけたくない時(apache +AWS環境)

例えばこんな時

開発サーバーにアクセス制限はかけないといけません
でもお客様に開発中のアプリを見せる関係でAPIだけはアクセス制限をかけたくない時

構成

apache
AWS
LARAVEL

アクセス制限について

AWS側でもapacheを使ってもIP制限自体は可能だが、
今回のように特定フォルダ直下のみだけ外したい場合はAWSのセキュリティグループを使った設定では実現できません

やり方

    <Directory /var/www/pj/src/public>
    Options All -Indexes
    AllowOverride All
    Require ip (許可したいIP)
    </Directory>
    <Location "/api">
        AllowOverride All
        Require all granted
    </Location>>

confファイルに上記を追記
調べたところこれでできるはずが、どうしてかapiが通りません。
かなり悩んだ末結果こちらを追記で通りました。

<Location "/index.php">
    Require all granted
</Location>

index.phpへのアクセスだけは許可しておかないとapiまで見に行ってくれないわけですね。
よく考えればそうですね・・・。
index.phpのアクセスを制限したままapiだけ通すようにできるやり方はあるんでしょうか。
まだまだこのあたりの勉強が必要です。