サイバーエージェントのエンジニアがハマった・失敗したポイントを語る「オレシカナイト Vol.1」イベントレポート

2. AWS Lambda＋API Gatewayを使ってみて良かった点、困った点（海老澤 直樹）

　次は海老澤の発表で、AWS上でサーバレスアーキテクチャを採った際の体験を語ってくれました。

良かった点

APIキーを使用した認証

　顧客情報や金銭情報を扱うサービスだったので、セキュリティを高めるために認証機能が必要でした。

　しかし、サービスを実行する端末がiPadだったので、ユーザーID／パスワードの入力など、なるべくキー入力は無くしたいという要望がありました。また、実装するとしてもそれなりの工数が必要になります。そこで、API GatewayのAPIキー認証を使うことにしました。

　APIキー認証は、HTTPヘッダのx-api-keyにAPIキー文字列を含めてリクエストを送信します。送信されたAPIキー文字列がAPI Gatewayで管理されているAPIキーと一致すればアクセス許可、APIキーと一致しない、もしくはHTTPヘッダにx-api-keyが含まれていなければアクセス不可となります。

　APIキーの管理（発行、削除、メソッドとの紐付けなど）はAWS マネジメントコンソールで行うことができます。

　今回はAPIキーをiPadごと（iPadを所有する担当者ごと）に割り当て、万が一iPadを紛失した場合にはAPIキーを無効化するという運用にしました。これによりサービスの利用者はユーザーID／パスワードの入力をする必要がなく、かつセキュリティも考慮したサービスを作ることができました。

　利用者が増えた場合にAPIキーの管理が煩雑になることが想定されること、PCなどiPad以外からの利用に対する対処は今後の課題です。

困った点

ローカルとLambdaでの動作の違い

　Scalaで作成したメール送信機能がローカルの開発環境で動作したので、Lambdaにアップロードして動作させたところ、メールに添付したファイルが送信されないという現象が発生しました。原因はライブラリの違いかと思われましたが、時間がなかったのでそれ以上の調査は断念し、メール送信機能をNode.jsで実装するという手段で回避しました。

　事前検証の大切さを痛感しました。