API Gateway: Authentication / Authorization, HTTP REST, WebSockets

Question 1

Чтобы настроить авторизацию-аутентификацию, API Gateway имеет 3 способа …

Answer 1

• IAM (roles, resource policies)
• Cognito User Pool
• Lambda Authorizer (ранее “Custom Authorizer”)

Question 2

Если выбран IAM Auth, то доступ можно дать … через … или
IAM Credentials отправляются в …
Action для отправки запроса в API Gateway - это …

Answer 2

EC2, Lambda или Users
IAM Role или Resource Based Policy
HTTP заголовке и подписываются Sig v4 подписью
Action: execute-api:Invoke

Question 3

Если выбран IAM Auth через Resource Based Policy, то доступ может быть …, при этом если …, то нужно …, а если …, то нужно …

Answer 3

Cross Account

Principle и API Gateway могут находиться в ОДНОМ или в РАЗНЫХ аккаунтах AWS.

Eсли вызов API Gateway функции происходит
- Cross Account, то нужны ОБА
(Resource Based Policy AND Identity Based Policy)
- Same Account, то нужна хотя бы ОДНА
(Resource Based Policy OR Identity Based Policy)

Question 4

Причины выбрать IAM Authentication.
Плюсы минусы особенности, цена, кастомный код.

Answer 4

• Если настроены Users, Roles
• Если нужна Cross Account (через Resource Policy)
• Использует Sig v4

Question 5

Причины выбрать Cognito User Pool
Плюсы минусы особенности, цена, кастомный код.

Answer 5

• Если у нас свой пул юзеров (вход через Facebook)
• Никакого кастомного кода
• Авторизацию нужно реализовать на бэкенде

Question 6

Причины выбрать Lambda Custom Authorizer
Плюсы минусы особенности, цена, кастомный код.

Answer 6

• Если у нас 3-rd party JWT токен
• Самый гибкий способ
• Платим каждый раз за вызов Lambda (спасает кэширование)
• Авторизацию нужно реализовать в Лямбде

Question 7

API Gateway поддерживает 3 типа endpoint’ов …

Answer 7

HTTP REST WebSocket

Question 8

Чем HTTP endpoint отличается от REST endpoint’а?

Answer 8

HTTP
- Только для Proxy
- Нельзя сделать Data Mapping
- Поддерживает OIDC и OAuth 2.0
- НЕ поддерживает Usage Plans и API Keys
- НЕ поддерживает Resource Based Policy

Дешёвая альтернатива API Gateway
Простая, но плохая.

Question 9

Суть WebSocket протокола в том, что …
Он подходит для … приложений, например …

Answer 9

Сервер может push’ить информацию пользователю
Подходит для Stateful приложений
чаты, мессенджеры

Question 10

Ключевые слова для WebSocket’ов

Answer 10

• two-way communication
• connect, send messages, disconnect
• connection URL callback для обратной связи
• routing table с адресами back-end’ов

Question 11

Какие фичи API GTW можно использовать в микросервисном приложении?

Answer 11

• определения HTTP endpoint’ов к AWS ресурсам
• проверки Authentication / Authorization пользователей
• проверки SSL сертификатов (через сервис AWS Certificatie Manager)
• перенаправление запросов
• трансформации данных запроса
• Swagger документации
• поддержки environments и Canary Deployment
• кэширования запросов
• Usage Plans платной клиентской подписки