Firma publikuje Regional API (regionalny punkt końcowy API Gateway), które ma być używane przez sześciu partnerów z USA, z których każdy wywołuje API raz dziennie w celu przesłania danych sprzedażowych. Po wdrożeniu API odbiera 1000 żądań na sekundę z 500 różnych adresów IP na całym świecie, prawdopodobnie z botnetu. Firma chce chronić API, jednocześnie utrzymując niskie koszty. Które podejście najlepiej zabezpieczy API?

Prawidłowa odpowiedź skutecznie chroni API przy niskich kosztach, wykorzystując AWS WAF do filtrowania ruchu na podstawie adresów IP partnerów. Blokowanie wszystkich innych adresów IP zatrzymuje botnet na brzegu sieci, zanim dotrze do API Gateway. Plany użycia API Gateway z limitami żądań i kluczami API zapewniają, że autoryzowani partnerzy nie przekroczą ustalonych limitów, co dodatkowo chroni zasoby i kontroluje koszty. Pozostałe opcje są mniej optymalne: Opcja z OAI i CloudFront jest kosztowna i niepotrzebna, ponieważ API jest regionalne, a OAI służy do ochrony zasobów S3. Ograniczenie żądań do pięciu dziennie dla wszystkich klientów jest zbyt restrykcyjne i nie rozwiązuje problemu botnetu, który może używać wielu adresów IP. Opcja z niestandardowym nagłówkiem i kluczem API w CloudFront również wprowadza dodatkową złożoność i koszty CloudFront, a klucz API powinien być zarządzany przez API Gateway. Opcja z polityką zasobów API do limitowania żądań jest mniej elastyczna niż plany użycia i nie zapewnia tak granularnej kontroli nad autoryzacją jak klucze API.