yamamanx

growing hard days

*

RDS + VPC + Lambda + API Gateway + CloudFront + WAF + ACMでAPIを構築する

      2016/06/27


RDSのMySQLの情報を与えられたリクエストをキーにしてjsonで返すAPIを構築してみます。
条件としてHeaderのAuthorizationキーの設定と接続元のIPアドレスを制限します。
通信はSSLを使用するのでACMで無料証明書を発行します。

cdp-1

Lambda用のIAMの設定

Lambda実行用にIAMロールを作成します。

ポリシーは「AWSLambdaVPCAccessExecutionRole」をアタッチします。
sles-1

Lambdaの設定

事前にセキュリティグループを1つ作成しておきます。
特にInbound , Outboundの設定は必要ありません。

作成したIAMロールを設定します。
sles-2

RDSと同じVPC、Subnetsを選択します。
SecurityGroupsは事前に作成していたものを設定します。
sles-3

コードは割愛しますが、pythonでMySQLへの接続はpymysqlモジュールを使用しています。
ホスト名はRDSエンドポイントです。

RDSのセキュリティグループの設定

Lambdaに設定したセキュリティグループをインバウンドでMySQLタイプで設定します。
sles-4

API Gatewayの設定

Lambdaの[API endpoints]から作成します。
Securityでは「Open with access key」を設定します。
sles-5

API GatewayでAPIキーを設定して作成されたステージへ追加します。
sles-6

APIで受けるリクエストをメソッドリクエストで設定します。
sles-7
sles-8

統合リクエストでマッピングテンプレートも設定しておきます。
sles-9
sles-91

クエリーパラメータは「”key”: “$input.params(‘key’)”,」です。
コード内ではIPアドレスの制御はしませんが、sourceIpで接続元IPアドレスを一応取得しています。

API Gatewayでは設定が終わってステージに反映するときは必ず、[アクション]-[APIのデプロイ]を実行します。
これをしなければAPIには反映されません。
sles-92

WAFの設定

Web ACL name , CloudWatch metric nameを任意で設定します。
sles-94

Create conditionsで[IP match conditions]と[String match conditions]を設定します。

IP match conditionsでは許可するIPアドレスを設定します。
sles-95

String match conditionsではHeaderのAuthorization値を完全一致で決めます。
sles-96

Create RuleでconditonにIPアドレスとString match conditionを[does]で追加します。
sles-97
sles-98

作成したルールをAction をAllow、Default をBlockとしてACLに追加します。
sles-99

ACMのためのSESの設定

サブドメインのCNAMEにCloudFrontのDomain Nameを任意の設定して独自ドメインにしたいと思います。

※ドメイン管理者としてメールを受信できる場合はこの設定は必要ありません。

※先にCNAMEを設定するとACMの認証URL受け取りのメールのためのMXレコードが設定できなくなるのでCNAMEは最後に設定します。

[Verify a New Domain]で受信したいドメインを指定します。
ses-1

TXTレコードとMXレコードの設定内容が表示されるので、レコードセットを管理しているDNSサーバで設定します。
ses-2

[Create Receipt Rule]で新しいルールを作成します。
[Recipient]にドメインを入れます。(ドメイン宛のメールすべて対象とします。)
ses-3

[Action]でS3バケットを選択します。
2つ目は[Stop Rule Set]として処理を終了しておきます。
ses-4

ルール名を任意で設定します。
ses-5

CloudFrontでのACMの設定

CloudFrontの編集画面で[Request an ACM certificate]をクリックします。
acm-1

ドメイン名を入力します。
acm-2

ドメイン管理者にメールが送信されます。
メールが受信できなくて前述のSESで設定している場合はS3バケットにメールが届いているのでAcceptします。

証明書が発行済になりました。
acm-3

CloudFrontのAlternate Domain Names(CNAMEs)に独自ドメインを入れて、
[Custom SSL Certificate]を選択して発行済の証明書を設定します。

cf-acm

その他のCloudFrontの設定

作成したWAFをCloudFrontへ設定します。
sles-991

Origin Settingsで、Origin Domain NameにAPI Gatewayのエンドポイントを設定します。

[Origin Protocol Policy]は[HTTPS Only]にします。

[Origin Custom Headers]でAPI Gatewayで設定したアクセスキーを設定します。
[Header Name]は[x-api-key]です。
これでAPI Gatewayの直接実行を防止します。
sles-992

Behaivior Settingsで[Viewer Protocol Policy]は[HTTPS Only]にします。
[Allowed HTTP Methods]は実行許可するAPIメソッドを含むように選びます。
ここで間違えていると、「This distribution is not configured to allow the HTTP request method that was used for this request.」とかになります。
sles-993

[Forward Query Strings]も[Yes]にします。
こうしとかないとクエリーストリングパラメータをAPIに渡せません。
forward_query_string

これでWAFで許可していないIPアドレスや、Headerの設定がない場合は、「Request blocked.」になります。

@yamamanx
開発ベンダー5年、ユーザ企業システム部門通算8年目のSoftware Engineerです。
質問はコメントかSNSなどからお気軽にどうぞ。
出来る限りなるべく答えます。

 - AWS , , , , , ,

ad

ad

Message

メールアドレスが公開されることはありません。

  関連記事

「雲勉 第1回【勉強会:新技術好き!】AWSマネージドサービス勉強会」に行ってきました

「雲勉 第1回【勉強会:新技術好き!】AWSマネージドサービス勉強会」に行ってき …

JAWS-UG Osaka 第14回勉強会 「DIY」 〜自社内システムを作る側からの物申す〜に参加、運営、登壇しました

先日、JAWS-UG Osaka 第14回勉強会 「DIY」 〜自社内システムを …

AWS EC2 Amazon Linux にEC-CUBE3をnginx+MySql環境へインストール(手順検証中)

EC2インスタンスを作成する 少し古い記事で恐縮ですが試したい事があるのでAWS …

Route53でドメインを新規取得してDNSレコードを設定する

Elastic IPをAWSで発行しているのですから、DNSの設定も同じようにマ …

slackのbotに天気を教えてもらう(Python on AWS Lambda + API Gateway)

slackのbotにAPIの定番ともいえる天気情報を教えてもらいました。 環境は …

AWS EC2 インスタンスステータスのチェックで失敗 原因はPHP-FPMのOOM-KILLER

先週に引き続きEC2のインスタンスステータスチェックで失敗 再起動するも失敗する …

「関西AWSスタートアップ勉強会」に行ってきました

第2回 関西スタートアップAWS勉強会に行ってきました。 akippa 拠点数コ …

AWS Summit 2016 Tokyoに参加してきました (Day2)

馬込は非常に良い天気です。 泊まっている部屋が2Fでしたので窓を明けると歩いてい …

kintoneで設定したスケジュールにあわせてlambda(python)からSQSへメッセージを送る

EC2の起動停止をそろそろ手動でやるのも疲れてきそうなのと、やはり停止するのを忘 …

AWS Summit 2016 Tokyoに参加してきました (Day3)

飛天3日目です。 JAWS-UGブースのすぐ前にあったこのお水がめちゃめちゃおい …