Ein Lösungsarchitekt muss sicherstellen, dass nur autorisierte AWS-Benutzer oder -Rollen einen neuen Amazon API Gateway-Endpunkt aufrufen können. Der Architekt möchte außerdem eine End-to-End-Verfolgung jeder Anfrage, um die Latenz zu messen und Service-Maps zu erstellen. Wie können API Gateway-Zugriffskontrolle und Anforderungsverfolgung implementiert werden, um beide Anforderungen zu erfüllen?

Die Methode AWSIAM für die API Gateway-Methodenautorisierung ermöglicht die Zugriffskontrolle über IAM-Benutzer und -Rollen, indem sie die Berechtigung execute-api:Invoke erteilt und die Signierung von Anfragen mit AWS Signature erfordert. Dies erfüllt die Anforderung der Zugriffskontrolle. AWS X-Ray ist das geeignete Tool für End-to-End-Verfolgung, Latenzmessung und Service-Maps, da es detaillierte Einblicke in Anfragen über verteilte Dienste hinweg bietet. CORS ist ein Sicherheitsmechanismus für Browser, keine Authentifizierungs- oder Autorisierungsmethode. CloudWatch ist für Metriken und Logs, nicht für End-to-End-Tracing. Ein benutzerdefinierter Lambda-Autorisierer wäre komplexer und würde die IAM-Funktionalität duplizieren, anstatt sie zu nutzen. Client-Zertifikate sind eine Form der gegenseitigen TLS-Authentifizierung, aber IAM ist der native und integrierte Weg für die AWS-Ressourcenzugriffskontrolle.