Paramètres de cache pour REST APIs dans API Gateway

Vous pouvez activer la mise en cache des API dans API Gateway pour mettre en cache les réponses de votre point de terminaison. Avec la mise en cache, vous pouvez réduire le nombre d’appels envoyés à votre point de terminaison et également améliorer la latence des demandes adressées à votre API.

Lorsque vous activez la mise en cache pour une étape, API Gateway met en cache les réponses de votre point de terminaison pendant une période spécifiée time-to-live (TTL), en secondes. API Gateway répond ensuite à la demande en recherchant la réponse du point de terminaison dans le cache au lieu d’envoyer une demande à votre point de terminaison. La valeur TTL par défaut pour la mise en cache des API est 300 secondes. La valeur TTL maximale est 3 600 secondes. La valeur TTL = 0 signifie que la mise en cache est désactivée.

La taille maximale d’une réponse qui peut être mise en cache est de 1 048 576 octets. Le chiffrement des données de cache peut augmenter la taille de la réponse lorsqu’elle est mise en cache.

Il s’agit d’un service admissible en vertu de la loi HIPAA. Pour plus d'informations sur AWS le Health Insurance Portability and Accountability Act des États-Unis de 1996 (HIPAA) et sur l'utilisation de AWS services pour traiter, stocker et transmettre des informations de santé protégées (PHI), consultez la section Présentation de la HIPAA.

Activation de la mise en cache Amazon API Gateway

Dans API Gateway, vous pouvez activer la mise en cache pour une étape spécifique.

Lorsque vous activez la mise en cache, vous devez choisir une capacité de cache. En général, une plus grande capacité offre de meilleures performances, mais coûte également plus cher. Pour connaître les tailles de cache prises cacheClusterSizeen charge, consultez le guide API Gateway API Reference.

API Gateway active la mise en cache en créant une instance de cache dédiée. Ce processus peut prendre jusqu’à 4 minutes.

API Gateway modifie la capacité de mise en cache en supprimant l’instance de cache existante et en en créant une avec une nouvelle capacité. Toutes les données mises en cache existantes sont supprimées.

Lorsque vous activez la mise en cache dans la section Paramètres de cache d’une étape, seules les méthodes GET sont mises en cache. Pour assurer la sécurité et la disponibilité de votre API, nous vous recommandons de ne pas modifier ce paramètre. Vous pouvez cependant activer la mise en cache pour d’autres méthodes en remplaçant les paramètres de méthode.

Si vous souhaitez vérifier si la mise en cache fonctionne comme prévu, vous avez deux options générales :

Remplacement de la mise en cache au niveau de l’étape API Gateway par la mise en cache au niveau de la méthode

Vous pouvez remplacer les paramètres de cache au niveau de l’étape en activant ou en désactivant la mise en cache d’une méthode spécifique. Vous pouvez également modifier la période TTL, ou activer ou désactiver le chiffrement des réponses mises en cache.

Si vous pensez qu'une méthode que vous mettez en cache recevra des données sensibles dans ses réponses, chiffrez les données de votre cache. Vous devrez peut-être le faire pour vous conformer aux différents cadres de conformité. Pour plus d'informations, consultez la section Contrôles Amazon API Gateway dans le guide de AWS Security Hub l'utilisateur.

Utilisation de paramètres de méthode ou d’intégration en tant que clés de cache pour indexer les réponses mises en cache

Vous pouvez utiliser un paramètre de méthode ou d’intégration en tant que clés de cache pour indexer les réponses mises en cache. Cela inclut les en-têtes personnalisés, les chemins d’URL ou les chaînes de requête. Vous pouvez spécifier tout ou partie de ces paramètres comme clé de cache, mais vous devez spécifier au moins une valeur. Si vous disposez d’une clé de cache, API Gateway met en cache les réponses de chaque valeur de clé séparément, y compris en l’absence de la clé de cache.

Par exemple, supposons que vous avez une demande au format suivant :

GET /users?type=... HTTP/1.1
host: example.com
...
        

Dans cette demande, type peut prendre la valeur admin ou regular. Si vous incluez le paramètre type dans la clé de cache, les réponses de GET /users?type=admin sont mises en cache séparément de celles de GET /users?type=regular.

Lorsqu’une demande de méthode ou d’intégration utilise plus d’un paramètre, vous pouvez choisir d’inclure certains ou la totalité des paramètres pour créer la clé de cache. Par exemple, vous pouvez inclure uniquement le paramètre type dans la clé de cache pour la demande suivante, effectuée dans l’ordre indiqué pendant une période TTL :

GET /users?type=admin&department=A HTTP/1.1
host: example.com
...
        

La réponse de cette demande est mise en cache et elle est utilisée pour servir la demande suivante :

GET /users?type=admin&department=B HTTP/1.1
host: example.com
...
        

Vidage du cache d’étape d’API dans API Gateway

Lorsque la mise en cache des API est activée, vous pouvez vider le cache au niveau d’une étape d’API afin de garantir que les clients de l’API obtiennent les réponses les plus récentes de vos points de terminaison d’intégration.

Invalidation d’une entrée de cache API Gateway

Un client de votre API peut invalider une entrée de cache existante et la recharger à partir du point de terminaison d’intégration pour les différentes demandes. Le client doit envoyer une demande contenant l’en-tête Cache-Control: max-age=0. Le client reçoit la réponse directement du point de terminaison d’intégration et non du cache, sous réserve qu’il dispose de l’autorisation nécessaire. L’entrée de cache existante est alors remplacée par la nouvelle réponse, qui est extraite du point de terminaison d’intégration.

Pour accorder cette autorisation à un client, attachez une politique au format suivant à un rôle d’exécution IAM pour l’utilisateur.

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Action": [
        "execute-api:InvalidateCache"
      ],
      "Resource": [
        "arn:aws:execute-api:region:account-id:api-id/stage-name/GET/resource-path-specifier"
      ]
    }
  ]
}            
        

Cette politique autorise le service d’exécution API Gateway à invalider le cache pour les demandes sur les ressources spécifiées. Pour spécifier un groupe de ressources ciblées, utilisez un caractère générique (*) pour account-id, api-id et les autres entrées de la valeur d’ARN de Resource. Pour plus d’informations sur la définition d’autorisations pour le service d’exécution API Gateway, consultez Contrôle de l’accès à une API REST avec des autorisations IAM.

Si vous n’imposez aucune politique InvalidateCache (ou si vous activez la case à cocher Require authorization (Exiger une autorisation) dans la console), n’importe quel client peut invalider le cache API. Si tous les clients ou la plupart d’entre eux invalident le cache API, cela peut augmenter la latence de votre API de façon significative.

Lorsque la politique est en place, la mise en cache est activée et l’autorisation est requise.

Vous pouvez spécifier la manière dont API Gateway gère les demandes non autorisées en choisissant l'une des options suivantes :

Vous pouvez définir le comportement de gestion des demandes non autorisées à l'aide de la console API Gateway ou AWS CLI.

AWS CloudFormation exemple d'une étape avec un cache

Le AWS CloudFormation modèle suivant crée un exemple d'API, fournit un cache de 0.5 Go pour la Prod phase et active la mise en cache au niveau de la méthode pour toutes les méthodes. GET

AWSTemplateFormatVersion: 2010-09-09
Resources:
  Api:
    Type: 'AWS::ApiGateway::RestApi'
    Properties:
      Name: cache-example
  PetsResource:
    Type: 'AWS::ApiGateway::Resource'
    Properties:
      RestApiId: !Ref Api
      ParentId: !GetAtt Api.RootResourceId
      PathPart: 'pets'
  PetsMethodGet:
    Type: 'AWS::ApiGateway::Method'
    Properties:
      RestApiId: !Ref Api
      ResourceId: !Ref PetsResource
      HttpMethod: GET
      ApiKeyRequired: true
      AuthorizationType: NONE
      Integration:
        Type: HTTP_PROXY
        IntegrationHttpMethod: GET
        Uri: http://petstore-demo-endpoint.execute-api.com/petstore/pets/
  ApiDeployment:
    Type: 'AWS::ApiGateway::Deployment'
    DependsOn:
      - PetsMethodGet
    Properties:
      RestApiId: !Ref Api
  ApiStage:
    Type: 'AWS::ApiGateway::Stage'
    Properties:
      StageName: Prod
      Description: Prod Stage with a cache
      RestApiId: !Ref Api
      DeploymentId: !Ref ApiDeployment
      CacheClusterEnabled: True
      CacheClusterSize: 0.5
      MethodSettings:
        - ResourcePath: /*
          HttpMethod: '*'
          CachingEnabled: True