Ein Unternehmen veröffentlicht eine regionale API (API Gateway Regional Endpoint), die von sechs in den USA ansässigen Partnern genutzt werden soll, die die API jeweils einmal täglich aufrufen, um Verkaufszahlen zu übermitteln. Nach der Bereitstellung empfängt die API 1.000 Anfragen pro Sekunde von 500 verschiedenen IP-Adressen weltweit, wahrscheinlich von einem Botnetz. Das Unternehmen möchte die API schützen und gleichzeitig die Kosten niedrig halten. Welcher Ansatz sichert die API am besten?

Die korrekte Option schützt die API effektiv und kostengünstig. Eine AWS WAF Web-ACL, die nur die IP-Adressen der sechs Partner zulässt, blockiert sofort den Großteil des Botnetz-Verkehrs. Ein Nutzungsplan mit einem Anfragelimit und einem API-Schlüssel stellt sicher, dass selbst die zugelassenen Partner die API nicht übermäßig nutzen und dass nur autorisierte Anfragen verarbeitet werden. Dies adressiert sowohl die Sicherheits- als auch die Kostenanforderungen. Die anderen Optionen sind weniger geeignet: Die erste Option mit CloudFront und OAI ist für die Beschränkung des Zugriffs auf S3-Buckets gedacht, nicht für API Gateway, und würde die bestehenden Partner-IP-Adressen nicht direkt nutzen. Die zweite Option mit CloudFront und einem benutzerdefinierten Header mit API-Schlüssel ist komplexer und teurer als die direkte Anwendung von WAF und Nutzungsplänen auf API Gateway. Die Ratenbegrenzung über WAF pro Tag ist auch nicht so präzise wie ein Nutzungsplan. Die dritte Option verwendet eine Ressourcenrichtlinie für ein Anfragelimit, was nicht die primäre Funktion von Ressourcenrichtlinien ist. Nutzungspläne sind hierfür das vorgesehene Mittel.