[AWS] 📚 API Gateway 인증 키 & 사용량 제한 설정

“ 소프트웨어란 개발된 양이 아닌 실행되는 순간의 가치로 판단되어야 한다. ”

- 김국헌.
IT강국의 허상을 넘어서 저자

API Gateway 인증 키

지난 시간에 REST API Gateway 배포에 성공했었다.

하지만 만일 누군가가 불순한 의도를 가지고 프로그램을 이용하여 하루에 100만건의 api 요청 트래픽을 보내면 어찌될까?

서비스가 터져버릴 것이며, 요금 또한 핵폭탄을 맞게 될 것이다.

따라서 API Key를 생성하여 프로젝트별로 고객이 원하는 요청 속도, 할당량을 설정하여 제한하여야 한다.

API Key를 관리하여 사용자들에게 요청 권한을 제공하고, 사용량 계획을 이용하여 일,월 요청 수 또는 n초 당 m개의 요청 수를 제한하는 기능을 설정한다.
이렇게 개발자들은 주로 API Key와 사용량 계획, Lambda 권한 부여자를 함께 사용함으로서 API 엑세스를 제어 한다.

주의사항 ⚠️
API Key를 인증과 인가 목적으로 사용하는 것은 권장하지 않는다.
API Key는 보안상 안전하지 않기 때문이다.쉽게 도난이 가능하고 운영자가 만료시점에 맞게 별도로 관리해 주지 않으면 무한대로 사용이 가능하기 때문이다.
때문에 인증과 인가는 인증 토큰(Lambda 또는 Cognito)을 기반으로 구현하는 것이 좋다.