API Gateway REST API 実践ハンズオン

Lambda コンソール →「関数の作成」→ 一から作成。ランタイム Python 3.12、関数名 apigw-items-handler で作成し、以下のコードを貼り付けて「Deploy」します。

import json

def lambda_handler(event, context):
    method = event.get("httpMethod", "GET")
    stage = event.get("requestContext", {}).get("stage", "unknown")
    if method == "POST":
        body = json.loads(event.get("body") or "{}")
        msg = f"created item: {body.get('name', 'noname')}"
    else:
        msg = "list of items"
    return {
        "statusCode": 200,
        "headers": {"Content-Type": "application/json"},
        "body": json.dumps({"message": msg, "stage": stage, "method": method})
    }

API Gateway コンソール →「API を作成」→ 「REST API」（「REST API プライベート」ではない方）の「構築」をクリックします。

「API を作成」をクリックします。

「リソースを作成」→ リソース名 items で作成します。作成した /items を選択し「メソッドを作成」で GET を追加します。

同様に POST メソッドも同じ Lambda で作成します。

「API をデプロイ」をクリック →「新しいステージ」→ ステージ名 dev でデプロイします。発行された 呼び出し URL（例：https://abc123.execute-api.ap-northeast-1.amazonaws.com/dev）をメモします。

もう一度「API をデプロイ」→ 新しいステージ prod を作成します。これで同じ API を dev / prod で別々に運用できます。各ステージの「ステージ変数」タブで env=production のような変数を設定でき、統合先 Lambda のエイリアスやバックエンド URL をステージごとに切り替えられます。

/items の GET メソッド →「メソッドリクエスト」の設定 →「API キーの必須」を true にします。POST も同様に設定し、API を再デプロイ（dev）します。

この状態でキー無しアクセスすると 403 Forbidden になります。

API Gateway 左メニュー →「使用量プラン」→「使用量プランを作成」。

「API キー」→「API キーを作成」→ 名前 handson-key で作成します。次に使用量プランの「関連付けられた API ステージ」で handson-rest-api:dev を追加し、「API キー」タブで handson-key を追加します。

作成した API キーの値を「表示」でコピーし、x-api-key ヘッダーに付けて再アクセスします。

短時間に大量リクエストを送るとレート上限を超え 429 Too Many Requests が返ります。

ACM コンソール →「証明書をリクエスト」→ パブリック証明書。ドメイン名に api.example.com を入力し、DNS 検証で発行します。

• リージョナルエンドポイントの場合 → API と同じ ap-northeast-1 で発行
• エッジ最適化エンドポイントの場合 → us-east-1 で発行（CloudFront 配下のため）

Route 53 を使っていれば「Route 53 にレコードを作成」ボタンで検証 CNAME を自動追加できます。状態が「発行済み」になるまで待ちます。

API Gateway 左メニュー →「カスタムドメイン名」→「作成」。

作成したカスタムドメインの「API マッピング」→「マッピングを設定」で、パスとステージを紐付けます。

これで https://api.example.com/v1/items が prod ステージにマッピングされます。

カスタムドメインに表示される「API Gateway ドメイン名」（d-xxxx.execute-api...）を、Route 53 で api.example.com の A レコード（エイリアス）として登録します。数分後に名前解決され、独自ドメインでアクセス可能になります。

WAF & Shield コンソール →「Web ACLs」→「Create web ACL」。

「Add AWS resources」で handson-rest-api の dev（または prod）ステージを関連付けます。

「Add rules」→「Add my own rules」→ Rule type Rate-based rule。

「IP sets」で自分のグローバル IP を含む IP セットを作成し、Web ACL に「その IP セット以外を Block」または「特定 IP を Block」するルールを追加できます。AWS マネージドルール（AWSManagedRulesCommonRuleSet 等）を追加すると一般的な攻撃パターンも自動防御できます。

Default action を Allow にして Web ACL を作成します（ルールにマッチしたものだけ Block）。数分後、レート上限を超えるアクセスは 403（WAF ブロック）が返るようになります。

DynamoDB →「テーブルの作成」。

作成後、項目を 1 つ手動追加します（例：{ "id": "1", "name": "apple" }）。

API Gateway が DynamoDB を呼ぶための実行ロールを作成します。信頼されたエンティティ apigateway.amazonaws.com、ポリシーに dynamodb:GetItem（対象テーブル）を許可した apigw-dynamodb-role を作成します。

API Gateway で /raw リソースを作成し、GET メソッドを以下で設定します。

「統合リクエスト」→「マッピングテンプレート」→ Content-Type application/json を追加し、クエリ文字列 ?id=1 を DynamoDB の GetItem リクエストへ変換します。

{
  "TableName": "handson-items",
  "Key": {
    "id": { "S": "$input.params('id')" }
  }
}

「統合レスポンス」→「マッピングテンプレート」で、DynamoDB の生レスポンスをクライアント向けの素直な JSON に整形します。

#set($item = $input.path('$.Item'))
{
  "id": "$item.id.S",
  "name": "$item.name.S"
}

API を再デプロイ（dev）して動作確認します。