PowerPoint Presentation

Transcription

1 AWS Black Belt Online Seminar Amazon API Gateway Keisuke Nishitani Amazon Web Services Japan K.K. Nov 16, 2016

2 Profile Keisuke Nishitani Specialist Solutions Architect, Amazon Web Service Japan K.K スペシャリスト SA - Serverless - Mobile - DevOps - Application Service REST おじさん 餃子の王将エヴァンジェリスト ( 自称 ) 音楽が好きです フジロッカーです 今年も行きました 小説大好き マンガ大好き 空想好き ブログ : Keisuke69 Keisuke69x Keisuke69 Keisuke69

3 内容についての注意点 本資料では 2016 年 11 月 16 日時点のサービス内容および価格についてご説明しています 最新の情報は AWS 公式ウェブサイト ( にてご確認ください 資料作成には十分注意しておりますが 資料内の価格と AWS 公式ウェブサイト記載の価格に相違があった場合 AWS 公式ウェブサイトの価格を優先とさせていただきます 価格は税抜表記となっています 日本居住者のお客様がサービスを使用する場合 別途消費税をご請求させていただきます AWS does not offer binding price quotes. AWS pricing is publicly available and is subject to change in accordance with the AWS Customer Agreement available at Any pricing information included in this document is provided only as an estimate of usage charges for AWS services based on certain information that you have provided. Monthly charges will be based on your actual use of AWS services, and may vary from the estimates provided.

4 API 管理の課題

5 API 管理の課題 提供する API のバージョン管理 API 利用状況のモニタ 管理とマネタイズ API に対する認証とアクセス権の管理 トラフィック管理と API エンドポイントのアタックからの保護 インフラのセットアップおよび管理とメンテナンス

6 Amazon API Gateway API の定義とホスティング ネットワークトラフィックの管理 AWS の Auth を活用 統一化された API の作成と管理 バックエンド保護のための DDoS 対策やスロットリング クラウド上のリソースへのアクセス認証

7 Amazon API Gateway 提供する API のバージョン管理 API 利用状況のモニタ 管理とマネタイズ API に対する認証とアクセス権の管理 トラフィック管理と API エンドポイントのアタックからの保護 インフラのセットアップおよび管理とメンテナンス

8 Amazon API Gateway 複数バージョンとステージ

9 Amazon API Gateway 複数バージョンとステージ API キーの作成と配布 プラン設定

10 Amazon API Gateway 複数バージョンとステージ API キーの作成と配布 プラン設定 リクエストの署名や認証機能の利用

11 Amazon API Gateway 複数バージョンとステージ API キーの作成と配布 プラン設定 リクエストの署名や認証機能の利用 リクエストのスロットリングとモニタリング

12 Amazon API Gateway 複数バージョンとステージ API キーの作成と配布 プラン設定 リクエストの署名や認証機能の利用 リクエストのスロットリングとモニタリング バックエンドとして AWS Lambda が利用可能

13 Amazon API Gateway の利点 レスポンスをキャッシュ可能 CloudFront を利用したレイテンシの軽減と DDoS 対策 ios Android と JavaScript 向け SDK の自動生成 Swagger のサポート Request / Response におけるデータ変換

14 API Gateway のユースケース

15 一般的な 3-tier Web アプリ プレゼンテーション層ロジック層データストア層 ブラウザ / モバイル Web サーバ / アプリサーバ データベース

16 AWS で作る場合 Static Contents (S3) ブラウザ / モバイル CDN (CloudFront) LB (ELB) Web (EC2) AP (EC2) DB (RDS)

17 サーバレススタックによる置き換え CloudFront S3 ブラウザ / モバイル API Gateway AWS Lambda DynamoDB etc

18 サーバレススタックによる置き換え CloudFront S3 ブラウザ / モバイル API Gateway AWS Lambda DynamoDB etc AWS によるマネージ ( フルマネージド )

19 フロントエンドの統一 1. オンプレの Web サービスの手前に API Gateway を配置 Mobile Apps Internet Amazon API Gateway On premise web server 2. オンプレの Web サービスを AWS へポーティング 3. API Gateway のコール先を新規サービスの API に変更する

20 DDoS からのネットワークの保護 Layer 7 and layer 3 DDoS protection Mobile Apps Websites Internet Amazon API Gateway Endpoints on Amazon EC2 Services Request throttling

21 ちなみに Lambda におけるファンクションとは 単体でデプロイ 実行が可能 各ファンクションは独立 ファンクションごとで言語やデータストアを選べる

22 ちなみに Lambda におけるファンクションとは 単体でデプロイ 実行が可能 各ファンクションは独立 ファンクションごとで言語やデータストアを選べる 自然と Microservices に近づいていく

23 サーバレスな Microservices

24 サーバレスな Microservices Microservice1 Microservice2 Microservice3

25 Amazon API Gateway + AWS Lambda

26 Amazon API Gateway + AWS Lambda = The easiest way to build Microservices

27 How it works

28 API のコールフロー AWS Mobile apps API Gateway cache AWS Lambda functions Websites Internet API Gateway Endpoints on Amazon EC2/AWS Elastic Beanstalk Services Amazon CloudWatch monitoring Any other publicly accessible endpoint

29 API 作成の流れ 1. 新規 API セットを作成 2. リソースおよびメソッドを定義 メソッドを作成した時点でテスト可能となる外部に公開はまだされていない状態 3. ステージへのデプロイ ステージは本番 開発といったデプロイ環境の管理を楽にしてくれる概念各ステージごとにロギング スロットリング モニタリング キャッシュの設定が可能 4. クローン 既存のものをクローンして新規バージョンとしてデプロイすることが可能 5. ロールバック 各ステージごとに300 回分のデプロイ履歴を保持しており いつでも過去バージョンに戻すことが可能

30 API API 自身を最上位とした階層構造になっている Pet Store API 内にリソースを定義 リソース名が URL のパスの一部となる ネストすることやパスパラメータの設定も可能 ex) /pets/{petid} /pets 各リソースにメソッドを定義 メソッドはリソース +HTTP メソッドで構成される スタンダードな 7 つの HTTP メソッドと ANY をサポート /pets/{petid} GET POST PUT

31 API のデプロイ API はステージにデプロイされる ステージはそれぞれ個別の環境を表す ステージ名は URI の一部となる 例 : Dev (e.g. awsapigateway.com/dev) Beta (e.g. awsapigateway.com/beta) Prod (e.g. awsapigateway.com/prod) Pet Store dev beta gamma prod

32 バージョンとステージ API 1 (v1) Stage (dev) Stage (prod) API 2 (v2) Stage (dev)

33 API の呼び出し デプロイ後から呼び出し可能 my-api-id API 作成時に払い出される識別子 region-id API が作成されたリージョン stage-name API がデプロイされているステージ

34 カスタムドメイン エンドポイントとしてカスタムドメインを用いて API 提供が可能 SSL 証明書を用意し API Gateway にアップロードする 利用している DNS に Distribution Domain Name に対する CNAME として登録する API 全体だけでなく 特定環境 ( ステージ ) のみをカスタムドメインで提供することも可能 全ステージへアクセス可能にすることも特定のステージに直接マッピングすることも可能

35 ダッシュボード API Calls API の呼び出し回数 Latency リクエストを受け取ってから応答するまでの時間 ( ミリ秒 ) Integration Latency バックエンドとのやり取りにかかった時間 4xx Error 4xx を返した回数 5xx Error 5xx を返した回数

36 メソッドの設定

37 メソッドの設定 認証の有無や 受け付けるクエリパラメータなどリクエストの受付に関する設定

38 メソッドの設定 バックエンドへのリクエストに関する設定 リクエストのルーティング先の指定やリクエストボディの変換など

39 メソッドの設定 バックエンドからのレスポンスに関する設定 レスポンス内容の変換やステータスコードのマッピングなど

40 メソッドの設定 リクエストに対するレスポンスに関する設定 どういうステータスコードやヘッダを返すかなど

41 Integration Type Lambda バックエンドとしてLambdaファンクションを利用 HTTP EC2 上で構築したWebAPIなどを利用する場合外部のWebサービスを呼び出すことも可能エンドポイントとして呼び出し先のURLとHTTPメソッドを指定アクセス先はPublic IPを持っている必要がある Mock バックエンドが未実装などの場合に API Gatewayから直接固定的なレスポンスを返すことが可能複数人 複数チームでの開発時にブロックすることなく並行して開発が進められる AWS Service AWSのサービスを直接呼び出し 各サービスで用意されているアクションを実行可能 Amazon Kinesis Streamのエンドポイントを独自のAPIとして対外的に見せたり Lambdaファンクションを非同期で呼び出す場合などに利用

42 API キーと使用量プラン

43 API キー API キーを有効にすることで API Gateway が払い出す API キーを使用したメータリングが可能 正しい API キーを含まないリクエストはエラーになる API/ ステージレベルで設定可能 外部ファイルからインポートすることも可能 リクエストのヘッダに API キーを含める x-api-key: bkayzomvuy8azohigxq94k9oe7y70hw55 CloudWatch により API キーごとの使用量を計測可能 認証目的で用いないこと あくまで計測目的として用意されている

44 使用量プラン (Usage Plan) キーの所有者がアクセス可能なサービスのセットとサービスのステージをプランとして API 開発者がコントロール サードパーティ開発者とのパートナーエコシステムを形成するなどの有料 無料などのビジネス的な観点で利用可能 プランごとに設定可能な項目 スロットリング リクエストレート全体 ( 平均秒間リクエスト ) とバーストキャパシティ クオータ 一日あたり 週あたり もしくは月あたりに可能なリクエストの数 API / ステージ アクセス可能な API と API のステージ プランに紐付けた API キーごとのリクエスト数や 一時的な例外許可も可能

45 認証 認可

46 利用可能な認証方式 AWS Signature Version 4 適切な権限を与えたIAMポリシーをアタッチしたIAMユーザのクレデンシャル情報を使用してリクエストに署名を行う Amazon CognitoとAWS Security Token Service(STS) のようなテンポラリクレデンシャルを利用するとIAMロールと紐づく形で認証 認可が行われる 生成されたクライアントSDKを利用する場合は自動的に利用可能 Custom Authorizer OAuthやSAMLなどのベアラートークンを用いてAPIへのアクセスを管理 Lambdaファンクションを用いてバックエンドの呼び出し前にAuthorizationヘッダの値 ( トークン ) を検証 Cognito User Pools User Poolsで認証を行い 取得したIDトークンを元にAPIコール いずれもメソッド単位で指定可能

47 Custom authorizers Lambda Auth function OAuth provider OAuth token AWS Lambda functions Client API Gateway Policy is evaluated Endpoints on Amazon EC2 Any other publicly accessible endpoint 403 バックエンドの呼び出し前にトークンを検証するファンクションを呼び出す Policy is cached

48 スロットリングとキャッシュ

49 スロットリング メソッド / ステージ単位 使用量プランでのスロットリングを提供 ステージ単位で全体的に同一設定にすることも 個々のメソッドに対して個別に設定することも可能 スロットリングによりバックエンドのパフォーマンスと可用性を維持 許容するリクエスト / 秒を指定 バーストを許容する設定も可能 トークンバケットアルゴリズムによる実装 リミットを超えたリクエストがスロットリングされる HTTP ステータス 429 をレスポンス 生成した SDK を使う場合 自動でリトライする

50 レスポンスのキャッシング レイテンシ減とバックエンドへのトラフィック軽減 キャッシュがあった場合 バックエンドを呼び出すことなくレスポンス ステージ単位のキャッシュプロビジョニング 0.5GB から最大 237GB の間でプロビジョニング 細やかな設定 メソッド単位で暗号化と TTL を設定 クエリパラメータ ヘッダ パスパラメータ単位でキャッシュ有無を設定 キャッシュアルゴリズムは LRU(Least Recently Used)

51 リクエストの処理フロー Receive incoming request Check for item in dedicated cache If found return cached item Check throttling configuration Check current RPS rate If above allowed rate return 429 Execute backend call

52 リクエスト / レスポンス変換

53 マッピングテンプレート リクエストやレスポンスのデータを別の形式に変換することが可能 インプットとアウトプットそれぞれで指定可能 マッピングテンプレートは Velocity Template Language (VTL) および JSONPath で定義 以下のようなユースケースで利用 レガシーなバックエンドからのレスポンスをフィルタ プライベートなものや不必要なデータを削除 GETリクエストのクエリストリングを元にPOSTのボディを生成 バックエンドをPOSTで呼び出し バックエンドがPOSTのリクエストしか受け付けない場合など LambdaファンクションからJSONを受け取り XMLに変換 Mock 利用時のレスポンス内容を定義

54 変換例 : JSON から XML に API Gateway Backend GET - /peoples/1234 Lambda fn get_people /peoples/1234 <xml> <name> John </name> </xml> { } name : John マッピングテンプレート #set($root = $input.path('$')) <xml> <name> $root.name </name> </xml>

55 モデル リクエスト / レスポンスで扱われるデータ ( ペイロード ) のスキーマを定義したもの テンプレートとマッピングして使う JSON 形式で定義 ペイロードの検証 ( 型など ) にも有効 必須ではないがモデルの情報を元に SDK が生成される API 内で複数メソッドをまたがってモデルを再利用可

56 クライアント SDK の生成

57 クライアント SDK の生成 ステージごとに生成可能 API 設定を元に自動生成 モデルの設定を元に In/Out のマーシャリングに関する処理も含まれる スロットリング時のリトライやリクエストの署名に関する処理を含む Android ios JavaScript をサポート

58 ログとモニタリング

59 CloudWatch Logs を利用したログ出力 CloudWatch Logs を利用したログ出力が可能 CloudWatch Logs への書き込みを許可した IAM ロールを用意し 設定する ステージごとにロググループが作成される ログの出力有無はステージ単位 メソッド単位で設定可能 Log level として ERROR/INFO が選択可能 request/response に関する情報を全てログ出力することも可能

60 CloudWatch メトリクス 以下のメトリクスを 1 分に 1 回収集 ステージ設定で Enable Detailed CloudWatch Metrics を有効にするとリソース メソッド単位でもフィルタリング可能 メトリクス意味単位 4XXError ステータスコード 4XX のエラー数個 5XXError ステータスコード 5XX のエラー数個 CacheHitCount キャッシュにヒットしたリクエストの数個 CacheMissCount キャッシュにヒットせず バックエンドからレスポンスされたリクエストの数 Count API メソッドの呼び出しの数 ( リクエスト数 ) 個 IntegrationLatency Latency API Gateway がバックエンドにリクエストを中継してから バックエンドからレスポンスを受け取るまでの時間 API Gateway がクライアントからリクエストを受け取ってから クライアントにレスポンスを返すまでの時間 個 ミリ秒 ミリ秒

61 その他の機能

62 Stage 変数 環境変数のようなもの コンフィグレーションの値を保存するために利用可能 $context で利用可能 API Gateway における各所で参照可能 Lambda function ARN HTTP endpoint Custom authorizer function name Parameter mappings

63 Stage 変数と Lambda のエイリアスを活用 複数ステージにおける API のコンフィグレーションと Lambda ファンクションを管理することが多少楽になる mylambdafunction = prod = beta 7 8 = dev My First API Stage variable = lambdaalias Prod lambdaalias = prod Beta lambdaalias = beta Dev lambdaalias = dev

64 プロキシリソースとプロキシ統合 特定パス以下やすべての HTTP メソッドに対する設定を簡単に greedy パス変数 特定パスパラメータ以下へのすべてのリクエストをキャッチして ルーティング可能例 : /store/{proxy+}) は /store/* を受け取り バックエンドにリクエスト可能 ANY メソッド HTTP メソッド (GET POST PUT など ) ごとに設定するのではなくまとめて同じ設定を行うことが可能 Lambda プロキシ 新しいデフォルトのマッピングテンプレートで すべてのリクエストを Lambda 関数に送信し 戻り値を HTTP 応答に変換 この場合 バックエンドの Lambda ファンクションは以下形式のレスポンスを返す必要がある { } "statuscode": httpstatuscode, "headers": { "headername": "headervalue",... }, "body": "... HTTP プロキシ フロントエンドとバックエンド間でリクエストとレスポンスの全体を単純に受け渡し

65 API 定義のインポート / エクスポート 外部の定義ファイルからインポートすることが可能 Swagger v2.0 定義ファイルをサポート 新しい定義で上書きして API を更新したり 既存の API で定義をマージすることも可能 コンソールおよび API から実行可能 API Gateway で作成した API を Swagger ファイルとしてエクスポート可能 API Gateway コンソールもしくは API Gateway Export を使用 API Gateway 統合の拡張と Postman 拡張を含めるオプション

66 価格 ( 東京リージョンの場合 ) 100 万リクエストあたり $4.25 AWS 無料枠に含まれる 100 万リクエスト / 月を 12 ヶ月間 外向きデータ転送量 (AWS の標準価格 ) 10TB まで $0.14/GB 次の 40TB まで $0.135/GB 次の 100TB まで $0.13/GB 次の 350TB まで $0.12/GB リージョンごとに異なるため必ず確認を

67 価格 キャッシュ Cache Memory Size (GB) Price per Hour (USD) 0.5 $ $ $ $ $ $ $ $4.4

68 Amazon API Gateway Tips

69 Amazon API Gateway Tips レスポンスヘッダの値を動的にセットしたい Integration Response の Header Mappings で任意の Response Header を設定し その値として integration.response.body.field を指定する (field の部分は任意の値 ) ヘッダとして指定したい値をバックエンドからのレスポンスに含める 上記における field 相当のキーで値を設定する この値を API のレスポンスとして見せたくない場合は Mapping Templates でフィルタする リダイレクトを動的にコントロールしたい 上記 レスポンスヘッダの値を動的にセットする方法にて Location ヘッダに任意の値をマッピング デフォルトのレスポンスとして 301 もしくは 302 を設定しておく

70 Amazon API Gateway Tips バックエンドへのアクセス元を限定したい バックエンドが Public な物であれば AWS Lambda を挟むことで VPC サポートと NAT を組み合わせて対応可能 バックエンドが VPC 内のプライベートなものであれば同様に AWS Lambda の VPC サポートとセキュリティグループで対応可能 この場合 API Gateway のバックエンドは AWS Lambda とし Lambda ファンクションから実際に利用したいバックエンドの Web システムへとリクエストを行う クライアント SSL による認証を行う 正しい証明書を持つリクエスト以外をバックエンド側で弾く バックエンドへのタイムアウトが短い 30 秒以上にして欲しい Web の世界で 1 つのリクエストが数分かかるというのは一般的ではありません 非同期処理にするなどアーキテクチャ API デザインの見直しをおすすめします

71 Amazon API Gateway Tips バイナリを扱いたい 現在はサポートしていませんが Base64 で encode/decode することで可能です サポートされました (2016/11/18) ただし ペイロードサイズは 10MB までとなっており これは制限緩和不可能です XML でリクエストしたい Proxy Integration を利用してすべてのリクエストをバックエンドにパススルーする もしくはマッピングテンプレートで以下のように受け取ったボディを丸ごと JSON 形式に変換することで可能です { "body" : $input.json('$') }

72 Amazon API Gateway Tips AWS WAF を使いたい CloudFront を使用して API Gateway をオリジンとして設定することで利用可能です ただし 2 段になるためレイテンシを考慮する必要があります カスタムドメイン用に AWS Certificate Manager を使いたい 現時点では API Gateway は ACM で発行する証明書に対応していません CloudFront を使用して API Gateway をオリジンとして設定することで利用可能です ただし 2 段になるためレイテンシを考慮する必要があります

73 Amazon API Gateway Tips エンドポイントへのアクセスに地域による制限をかけたい API Gateway 自身には機能はないですがバックエンド側のロジックでチェックをして弾く もしくは CloudFront を使用して API Gateway をオリジンとして設定することで利用可能です ただし 2 段になるためレイテンシを考慮する必要があります HTTP でリクエストを受けたい CloudFront を使用して API Gateway をオリジンとして設定することで利用可能です ただし 2 段になるためレイテンシを考慮する必要があります

74 API Gateway の手前に CloudFront を利用する API Gateway 自身も CloudFront を利用してディストリビューションされていますが CloudFront の設定は変更不可となっています API Gateway での利用は DDoS プロテクション (L7, L3 および Syn flood) 目的 CloudFront を API Gateway の前段で利用することで CloudFront の持つ機能を活かすことが可能となります ただし 2 段となるためレイテンシの影響を考慮する必要があります POP POP (API Gateway が利用 )

75 事なことなのでもう一度

76 大事なことなのでもう一度 レイテンシの影響を考慮

77 CloudFront 利用時における設定のポイント オリジンとして API Gateway のエンドポイントを登録 API Gateway の Invoke URL のホスト部分だけを登録する例 : a0ro61xxxx.execute-api.us-east-1.amazonaws.com HTTP で受けたい場合は Viewer Protocol Policy を HTTP and HTTPS もしくは Redirect HTTP to HTTPS に Origin Protocol Policy は HTTPS Only に HOST ヘッダは転送しないこと

78 Any questions? Photo credit: rolands.lakis via VisualHunt.com / CC BY

79 資料の配置場所 AWS クラウドサービス活用資料集 AWS Solutions Architect ブログ 最新の情報 セミナー中の Q&A 等が掲載されています

80 公式 Twitter/Facebook AWS の最新情報をお届けします もしくは 最新技術情報 イベント情報 お役立ち情報 お得なキャンペーン情報などを日々更新しています!

81 AWS の導入 お問い合わせのご相談 AWS クラウド導入に関するご質問 お見積り 資料請求をご希望のお客様は以下のリンクよりお気軽にご相談ください AWS 問い合わせ で検索してください

82