Surveillance de la configuration de l'API API Gateway avec AWS Config

Vous pouvez utiliser AWS Config afin d'enregistrer les modifications de configuration apportées à vos ressources de l'API d'API Gateway et envoyer des notifications en fonction de ces modifications. Il peut être utile de conserver un historique des modifications de configuration apportées aux ressources API Gateway pour un dépannage et un audit opérationnel ainsi que pour des cas d'utilisation de conformité.

AWS Config peut effectuer un suivi des modifications apportées à :

• Configuration des étapes d'API, notamment :

  • paramètres de cluster de cache ;

  • paramètres de restriction ;

  • paramètres des journaux d'accès ;

  • déploiement actif défini sur l'étape.

• Configuration d'API, notamment :

  • configuration du point de terminaison ;

  • version ;

  • protocole ;

  • balises.

En outre, la fonction AWS Config Rules permet de définir les règles de configuration, détecte et suit automatiquement les violations à ces règles et envoie des alertes à ce propos. En suivant les modifications apportées à ces propriétés de configuration des ressources, vous pouvez également créer des règles AWS Config s'exécutant en cas de modification pour vos ressources API Gateway et tester vos configurations de ressources par rapport aux bonnes pratiques.

Vous pouvez activer AWS Config dans votre compte à l'aide de la console AWS Config ou de l'AWS CLI. Sélectionnez les types de ressources pour lesquels vous souhaitez suivre les modifications. Si vous avez déjà configuré AWS Config pour enregistrer tous les types de ressources, alors ces ressources API Gateway seront automatiquement enregistrées dans votre compte. La prise en charge d'Amazon API Gateway dans AWS Config est disponible dans toutes les régions publiques AWS et AWS GovCloud (US). Pour obtenir la liste complète des Régions prises en charge, veuillez consulter les points de terminaison et quotas Amazon API Gateway dans le document Références générales AWS.

Types de ressources pris en charge

Les types de ressources API Gateway suivants sont intégrés avec AWS Config et sont documentés dans Types de ressources et relations entre ressources AWS pris en charge par AWS Config :

• AWS::ApiGatewayV2::Api (WebSocket et API HTTP)

• AWS::ApiGateway::RestApi (API REST)

• AWS::ApiGatewayV2::Stage (étape d'API WebSocket et HTTP)

• AWS::ApiGateway::Stage (étape de l'API REST)

Pour plus d'informations sur AWS Config, consultez le Manuel du développeur AWS Config. Pour obtenir des informations sur la tarification, consultez la page des informations de tarification d'AWS Config.

Important

Si vous modifiez l'une des propriétés de l'API suivantes après le déploiement de l'API, vous devez redéployer l'API pour propager les modifications. Sinon, les modifications d'attribut sont visibles dans la console AWS Config, mais les paramètres de propriété précédents restent en vigueur et le comportement d'exécution de l'API est inchangé.

• AWS::ApiGateway::RestApi – binaryMediaTypes, minimumCompressionSize, apiKeySource

• AWS::ApiGatewayV2::Api – apiKeySelectionExpression

Configuration de AWS Config

Pour configurer initialement AWS Config, veuillez consulter les rubriques suivantes dans le Guide du développeur AWS Config.

• Configuration de AWS Config avec la Console

• Configuration de AWS Config avec le AWS CLI

Configuration de AWS Config pour enregistrer les ressources API Gateway

Par défaut, AWS Config enregistre les modifications de configuration pour tous les types de ressources régionales pris en charge qu'il détecte dans la région dans laquelle votre environnement s'exécute. Vous pouvez personnaliser AWS Config pour enregistrer uniquement les modifications de types de ressources spécifiques ou les modifications apportées aux ressources globales.

Pour en savoir plus sur les ressources régionales et globales, ainsi que sur la procédure de personnalisation complète de la configuration d'AWS Config, consultez Sélection des ressources enregistrées par AWS Config.

Affichage des détails de configuration API Gateway dans la console AWS Config

Vous pouvez utiliser la console AWS Config pour rechercher des ressources API Gateway et obtenir des détails actuels et historiques sur leurs configurations. La procédure ci-après illustre comment rechercher des informations sur une API Amazon API Gateway.

Pour trouver une ressource API Gateway dans la console config AWS

1. Ouvrez la console AWS Config.

2. Choisissez Ressources.

3. Sur la page Resource Inventory (Inventaire des ressources), choisissez Resources (Ressources).

4. Ouvrez le menu Resource type (Type de ressource), faites-le défiler jusqu'à APIGateway ou APIGatewayV2, puis choisissez un ou plusieurs types de ressources API Gateway.

5. Choisissez Recherche.

6. Choisissez un ID de ressource dans la liste des ressources affichée par AWS Config. AWS Config affiche les détails de la configuration ainsi que d'autres informations sur la ressource que vous avez sélectionnée.

7. Pour voir tous les détails de la configuration enregistrée, choisissez View Details (Afficher les détails).

Pour en savoir plus sur d'autres manières de trouver une ressource et d'afficher des informations sur cette page, veuillez consulter Affichage des configurations et de l'historique des ressources AWS dans le Guide du développeur AWS Config.

Évaluation des ressources API Gateway à l'aide des règles AWS Config

Vous pouvez créer des règles AWS Config qui représentent les paramètres de configuration idéaux pour vos ressources API Gateway. Vous pouvez utiliser des règles gérées AWS Config ou définir des règles personnalisées. AWS Config surveille en permanence les modifications apportées à la configuration de vos ressources afin de déterminer si elles ne vont pas à l'encontre de l'une des conditions de vos règles. La console AWS Config affiche l'état de conformité de vos règles et ressources.

Si une ressource enfreint une règle et est signalée comme non conforme, AWS Config peut vous alerter à l'aide d'une rubrique du Guide du développeur Amazon Simple Notification Service (Amazon SNS). Pour programmer la consommation des données contenues dans ces alertes AWS Config, utilisez une file d'attente Amazon Simple Queue Service (Amazon SQS) comme point de terminaison de notification pour la rubrique Amazon SNS.

Pour en savoir plus sur la configuration et l'utilisation de règles, veuillez consulter Évaluation des ressources à l'aide de règles dans le Guide du développeurAWS Config.