[AWS] API Gateway

📌 API Gateway 

API gateway는 api 가 지나다니는 통로다.  이게 왜 필요할까? 

오늘은  API gateway 가 왜 필요한지에 대해서 공부해보았다.

 

 

📍 AWS API Gateway 란 ?

API Gateway 는 개발자가 API 를 손쉽게 생성, 게시, 유지 관리, 모니터링 및 보안 유지할 수 있는 서비스다. 

AWS에서 제공하고 있으며, EventBridge, Lambda와 함께 사용할 수 있다. 

 

 

< 상상해보기 >

MSA 아키텍처로 구현된 로튼 토마토 도메인들

 

나는 API Gateway를 이해하기 위해 로튼 토마토(미국 영화 평점 사이트)가 마이크로 서비스 아키텍처로 구현되어있다고 상상했다.

 

 

 

 

여러 개로 흩어져 있는 서비스 가운데 service 2(토마토TV 서비스의 도메인) 의 모든 기능을 service 1 (토마토 뮤비 서비스의 도메인)로 옮겨야 하는 상황이다. service 2의 특정 api를 call 하는 모든 URL을 다 바꿔주어야한다. 도메인이 변경되었으니까 당연한 얘긴데 이건 좀 번거롭다. 

 

 

 

 

이 때, 뿔뿔히 흩어져있는 MSA 서비스들을 API Gateway로 한 군데로 모아 관리한다면? 

 

 

• API 게이트 웨이도 하나의 서버이기 때문에 나름의 도메인이 있다. 

중간에 API Gateway 서버로 모았다가 다시 목적지로 뻗어나가는 구조다. 나는 스프링에서 프론트 컨트롤러 역할을 하는 서블릿 디스패처가 떠올랐다. '수문' 역할을 하고 있다는 점이 공통점이긴하다. redirecting과 비슷한 원리이기도 하다. 어쨌든 MSA 아키텍처로 프로그램을 운용하고 있다면 특정 URI를 하나로 통합할 때 gateway를 사용하면 어떨까.

하나의 서비스가 다른 서비스로 이관하는 문제로 돌아가서 생각해보면, 앞단에서 call하는 쪽은 고려하지 않고 중간에 위치한 API Gateway 만 변경해주면된다. 

 

API 게이트 웨이 서비스가 MSA 에 적합하다는 이유가 여기에 있다. MicroService처럼 여러가지 서비스로 흩어져있는 RestAPI를 반드시 하나의 gateway로 통과시키면서 관리를 편하게 해주고 그 외의 다양한 부가 서비스를 창출하게 만든다. 동일한 기능을 A 도메인에서는 node 로, B 도메인에서는 자바 스프링으로 구현할 때 한 곳에만 그 기능을 구현하고 API Gateway로 넘나드는 거다. 근데 단점도 있다. 이렇게 함으로써 자기 자신 안에 있는 api 를 호출하려고 할 때의 번거롭다. 굳이 내 도메인 안에 있는 로직을 호출하는데 api gateway를 거치는 게 융통성이 없다. 

 

본질적으로는 간단하지만 모든 API를 하나의 API 도메인 안에서 관리해준다 라는 특성 때문에 여기에 붙일 수 있는 부가기능이 많다. 여기서 할 수 있는 관리는 로깅, 엑세스 제어(보안), 모니터링이다.

 

 

📍 AWS API Gateway 종류

• AWS API Gateway는 3가지 제품으로 이루어져 있다.
• HTTP API, Rest API, Websocket API 
• API 에 일괄적으로 인증을 붙힐 수 있다. 즉, 권한 부여 가능하다...!
  • 어떤 도메인에서 다른 도메인의 특정 API를 요청 할 때, 요청을 하기 전 options라는 api를 먼저 보냄. 
  • 내가 지금 요청을 할 수 있는지 없는지 허락을 구하는 api 
  • 이게 어디에 쓰이냐. 바로 CORS(Cross-Origin Resource Sharing)

 

📍 CORS와 AWS API Gateway 

• Cross-Origin Resource Sharing : "도메인을 넘나들면서 리소스를 공유한다"

Cross-Origin HTTP request 

• Origin이 다른 API를 호출하는 경우 , 'tomatoMovie.com' 서버 안에서 'tomatoTV.com' 안에 있는 Rest API를 호출하는 경우
• 보안 상에 문제가 생길 수 있는 여지가 있는 API 호출 (마이크로 서비스) 

1. 다른 도메인 ( 'tomato.com', 'tomatoMovie.com')
2. 다른 포트 ('tomatoMovie.com', 'tomatoMovie.com/5000')
3. 다른 프로토콜 (https, http)

 

 

CORS ( Cross-Origin Resource Sharing)

• 원래는 같은 도메인이 아닌, 다른 도메인의 API 를 호출할 수 없다. 
• 어떤 도메인에서나 호출하게 하고 싶거나, 특정 도메인에서만 호출하게 하고 싶다면 해당 부분을 설정해줘야한다.
• 적합한 사용자가 호출하는지 인증하는 역할이 필요하다.

CORS 활성화와 OPTIONS 응답

• OPTIONS 메서드 생성을 통해 수동으로 만든 것이 아니라, CORS 활성화를 통해 자동으로 만들어진 것.
• 이게 왜 만들어지냐.
• API 방식으로 get, post, put .. 중에 뭐든지, 요청을 처리하기 전에 API 가 호출되는 주체의 도메인이 접근 가능한 도메인인가를 검사하기 위해 OPTIONS가 생성되었다. 
• 그래서 본래 호출한 API보다 먼저 호출된다.