Une entreprise publie une API régionale (point de terminaison régional API Gateway) qui doit être utilisée par six partenaires basés aux États-Unis, chacun appelant l'API une fois par jour pour soumettre des chiffres de vente. Après le déploiement, l'API reçoit 1 000 requêtes par seconde provenant de 500 adresses IP différentes dans le monde entier, probablement d'un botnet. L'entreprise souhaite protéger l'API tout en maintenant les coûts à un niveau bas. Quelle approche sécurise le mieux l'API ?

La bonne approche consiste à utiliser une ACL web AWS WAF pour autoriser uniquement les adresses IP connues des six partenaires. Cela bloque immédiatement le trafic du botnet. Ensuite, la création d'un plan d'utilisation avec un quota de requêtes et l'attribution d'une clé API à ce plan permettent de limiter le nombre d'appels quotidiens par partenaire, conformément aux exigences. Les autres options sont moins efficaces ou plus coûteuses. La première option avec CloudFront et OAI est inutile car l'API est régionale et les partenaires sont aux États-Unis. De plus, bloquer les clients avec plus de cinq requêtes par jour ne correspond pas à l'exigence d'une requête par jour. La deuxième option avec CloudFront et une clé API personnalisée via un en-tête est une solution de contournement moins sécurisée qu'une clé API native d'API Gateway. La troisième option, qui applique une limite de requêtes via une politique de ressources, est moins granulaire et plus complexe à gérer qu'un plan d'utilisation dédié aux clés API.