API Gateway: Basis, Lambda, Endpoint Types, SSL

Question 1

Что может стоять за API Gateway?

Answer 1

Lambda
ALB
любой HTTP back-end
SQS, Kinesis, S3, любой AWS сервис

Question 2

Какие фичи предоставляет API Gateway?

Answer 2

• Web Sockets
• API versioning, environments (Stages)
• Canary Deployment
• Usage Plans, API Keys
• SSL сертификатов проверку
• Authentication / Authorization
• Swagger Open API
• Валидация, трансформация запроса
• Кэширование

Question 3

Зачем Лямбде нужен API Gateway, если у неё есть Lambda URL?

Answer 3

Lambda - в отличие от Spring приложения - не имеет Tomcat сервера.
Lambda НЕ может выставлять REST Endpoint’ы.
А в API Gateway можно определить CRUD endpoint’ы и привязать их к разным лямбдам.

Question 4

Лямбда + API Gateway
Как устроена Security?

Answer 4

Lambda функция должна иметь IAM Policy,
чтобы разрешать операцию Invoke от API Gateway.

Question 5

Зачем API Gateway умеет трансформировать данные запросов?

Answer 5

Чтобы приводить данные к формату, нужному для SQS, Kinesis и т.п. без back-end’а вообще

Получается полностью Serverless архитектура
Клиент шлёт запросы “напрямую” (через API Gateway) в Kinesis DS

Question 6

Какие бывают Endpoint Types в API Gateway?
В чём их особенности?

Answer 6

• Edge Optimised
  
  • для глобальных клиентов
  • запросы направляются через CloudFront Edge Locations (для latency)
  • API Gateway находится в одном регионе (но доступно глобально)
• Regional
  
  • без CloudFront Edge Location’ов по-умолчанию
  • но вообще CloudFront можно подключить вручную (больше контроля над caching strategies)
• Private
  
  • доступны только из VPC, используя VPC Endpoint (ENI)
  • можно указать Resource Policy, чтобы ограничить доступ к private endpoint

Question 7

Как можно организовать Users Authentication / Authorization в API Gateway?

Answer 7

• IAM Roles - например, дать роль нашим EC2 instance’ам,
  чтобы они имели доступ к API Gateway Endpoint’у
• Cognito - например, дать доступ множеству клиентов
  мобильного или веб-приложения.
• Custom Authorizer - например, написать свою кастомную логику авторизации
  в Лямбда функции

Question 8

Как API Gateway используется для проверки SSL сертификата?

Answer 8

Как единая точка входа всех запросов.
SSL сертификат проверяет ACM (AWS Certificate Manager)

Question 9

Где должен быть расположен SSL сертификат для проверки API Gateway?
Почему?

Answer 9

• в us-east-1 - для Edge Optimised Endpoint’а
• в соответствующем регионе - для Regional Endpoint’а

Потому что Edge Optimised API Gateway endpoint
хоть и глобальный, но развёрнут в одном регионе.