1 Minute Tips

AWS API GatewayでのSigV4認証の実装とCloudTrailによるアクセス監視

Written by

sumito.tsukada

in

AWS Signature Version 4（SigV4）は、AWSサービスへのリクエストを認証し、セキュアにアクセスするための重要なプロトコルです。本記事では、JavaScriptを使用してAPI Gatewayへの認証付きリクエストを行う方法、発生しやすいエラーの解決方法、そしてCloudTrailおよびCloudWatch Logsを活用してリクエストを監視・確認する手順について詳しく解説します。

目次

  1. SigV4認証とは
  2. API GatewayへのSigV4認証付きリクエストの実装
    • サンプルコードの解説
  3. まとめ
  4. 参考資料

SigV4認証とは

AWS Signature Version 4 (SigV4) は、AWSサービスへのAPIリクエストを認証および認可するための署名プロトコルです。SigV4を使用することで、リクエストが改ざんされていないことや、正当なAWSユーザーからのものであることを保証できます。

SigV4の重要性

  • セキュリティの確保: リクエストに署名を付与することで、送信者の正当性を保証し、リクエストの改ざんを防止します。
  • 認証と認可: AWS IAMと連携し、リクエストを送信するユーザーの権限を確認・制御します。
  • データ保護: 転送中のデータの整合性を保証し、リプレイ攻撃を防止します。

API GatewayへのSigV4認証付きリクエストの実装

以下に、JavaScriptを使用してAPI GatewayへのSigV4認証付きリクエストを行うサンプルコードを示します。

サンプルコードの解説

const AWS = require('aws-sdk');
const https = require('https');
const url = require('url');

// 環境変数から認証情報を取得
AWS.config.update({
  region: 'ap-northeast-1', // 東京リージョン
  accessKeyId: process.env.AWS_ACCESS_KEY_ID,
  secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY
});

// ターゲットエンドポイント
const endpoint = 'https://xxx.execute-api.ap-northeast-1.amazonaws.com/Stage/health';
const parsedUrl = url.parse(endpoint);

// AWS.HttpRequest オブジェクトを作成
const request = new AWS.HttpRequest(`https://${parsedUrl.hostname}`, AWS.config.region);

// リクエストオプションを設定
request.method = 'GET';
request.path = parsedUrl.path;
request.headers['Content-Type'] = 'application/json';

// SigV4署名を生成
const signer = new AWS.Signers.V4(request, 'execute-api');
signer.addAuthorization(AWS.config.credentials, new Date());

// HTTPSリクエストのオプションを設定
const options = {
  hostname: parsedUrl.hostname,
  port: 443,
  path: parsedUrl.path,
  method: request.method,
  headers: request.headers
};

// HTTPSリクエストを送信
const req = https.request(options, (res) => {
  let data = '';

  res.on('data', (chunk) => {
    data += chunk;
  });

  res.on('end', () => {
    console.log('Response:', data);
  });
});

// エラーハンドリング
req.on('error', (e) => {
  console.error('Error:', e);
});

// リクエストヘッダーを設定
Object.keys(request.headers).forEach((key) => {
  req.setHeader(key, request.headers[key]);
});

// リクエストを終了して送信
req.end();

以下のコードは、SigV4署名を生成し、API Gatewayのエンドポイントに対して認証付きのGETリクエストを送信します。

コードの主要部分の説明

認証情報の設定:

AWS.config.update({
  region: 'ap-northeast-1',
  accessKeyId: process.env.AWS_ACCESS_KEY_ID,
  secretAccessKey: process.env.AWS_SECRET_ACCESS_KEY
});

環境変数から取得したアクセスキーとシークレットキーを使用して、AWS SDKの設定を行います。

リクエストの準備

const request = new AWS.HttpRequest(`https://${parsedUrl.hostname}`, AWS.config.region);
request.method = 'GET';
request.path = parsedUrl.path;
request.headers['Content-Type'] = 'application/json';

AWS.HttpRequestオブジェクトを作成し、HTTPメソッド、リクエストパス、ヘッダーを設定します。

SigV4署名の生成:

const signer = new AWS.Signers.V4(request, 'execute-api');
signer.addAuthorization(AWS.config.credentials, new Date());

AWS.Signers.V4を使用してSigV4署名を生成し、リクエストに追加します。

HTTPSリクエストの送信

const req = https.request(options, (res) => {
  // レスポンス処理
});
// エラーハンドリング
req.on('error', (e) => {
  console.error('Error:', e);
});
// リクエストヘッダーの設定
Object.keys(request.headers).forEach((key) => {
  req.setHeader(key, request.headers[key]);
});
// リクエストを終了して送信
req.end();

署名されたヘッダーを含むHTTPSリクエストを送信し、レスポンスを処理します。

まとめ

本記事では、AWS Signature Version 4（SigV4）を活用して、JavaScriptを使用したAPI Gatewayへの認証付きリクエストの実装方法と、発生しやすいエラーへの対処方法について詳しく解説しました。また、CloudTrailおよびCloudWatch Logsを利用したアクセス監視の手順についても触れ、セキュアかつ効率的なAWS環境の構築方法を紹介しました。

主要なポイント

  1. SigV4認証の理解と重要性:
    • SigV4はAWSサービスへの安全なアクセスを実現するための必須プロトコルであり、リクエストの正当性とデータの整合性を保証します。
  2. API Gatewayへの認証付きリクエストの実装:
    • JavaScriptを用いて、環境変数から認証情報を取得し、AWS.HttpRequestオブジェクトを生成。
    • AWS.Signers.V4を使用してリクエストに署名を付与し、HTTPSリクエストを送信する手順を具体的に示しました。
  3. エラーハンドリング:
    • 開発過程で遭遇しやすいエラー例として、KeyErrorやpipのバージョン関連エラーを取り上げ、適切な対処法を提供しました。
  4. アクセス監視の実践:
    • CloudTrailでは主に管理イベントが記録されるため、データプレーンのAPIリクエストはCloudWatch Logsを活用して詳細に監視。
    • CloudWatch Logsの設定方法とログの確認手順をステップバイステップで解説し、実際のアクセス状況をリアルタイムで把握する方法を紹介しました。

最後に

AWS環境におけるセキュリティと運用の効率化を実現するためには、SigV4認証の正しい実装とアクセス監視の徹底が不可欠です。本記事で紹介した手法を参考に、API Gatewayを含むAWSサービスへの安全なアクセス管理と、効果的なモニタリングを実現してください。

セキュアなAPI運用を通じて、ビジネスの信頼性とユーザー体験の向上に貢献できることを願っています。

参考資料

以上で、AWS API GatewayへのSigV4認証付きリクエストの実装方法と、アクセス監視の手法についての解説を終わります。これらの知識を活用し、セキュアで信頼性の高いAWS環境を構築・運用してください。

More posts