API'lerini koruma

AWS üzerinde Uygulama Geliştirme

Ricardo Sueiras

Principal Technologist

AWS'de API'leri güvene almak

 

• Bulut-yerel uygulamalarda API'leri güvenceye almak kritiktir.
• Hassas işlevleri açığa çıkarırlar.
• Genelde arka uca halka açık giriş kapısıdır.
• API Gateway, API'leri güvenle sunmana yardım eder.

Yetkilendirme ve kimlik doğrulama

 

• İki ana kavram:
• Authentication: kim olduğunu doğrulama.
• Authorization: ne yapmaya yetkili olduğun.

IAM yetkilendirmesi

 

• API Gateway, kimlik doğrulama ve yetkilendirme için IAM kullanabilir.
• Signature Version 4 (SigV4) ile API'leri korur.
• İstemciler her isteği imzalar.
• API Gateway, işlemden önce imzayı doğrular.
• Sonrasında IAM ilkeleri her kimliğin neyi çağırabileceğini kontrol eder.
• AWS servisler arası iletişim için idealdir.

Amazon Cognito yetkilendiricileri

• Cognito, kullanıcıları JSON Web Token'larla (JWT) doğrular.
• Yaygın kullanım: mobil/web uygulamaları, oturum açma akışları.
• Birleşik kimlikleri destekler.
• Google, Apple, Facebook gibi harici sağlayıcılarla çalışır.
• Kurumsal sağlayıcılar: SAML veya OIDC.
• JWT'leri yerel olarak doğrular, özel yetkilendirici kodu gerekmez.

 

Lambda yetkilendiricileri

• Bir Lambda işlevi özel yetkilendirme mantığını çalıştırır.
• Erişimi izin veren veya reddeden bir IAM ilkesi döner.
• Özel jetonları doğrulamak için kullan.
• Harici kimlik sağlayıcılarıyla tümleştir.
• Kendi özel kurallarını uygula.

 

Lambda yetkilendiricileri

• Örnek: Auth0 gibi bir sağlayıcıdan gelen JWT'yi doğrula.
• Bir istek gelir ve API Gateway yetkilendiriciyi çağırır.
• İşlev jetonu doğrular ve bir IAM ilkesi döner.
• İlke erişimi belirler: izin ver veya reddet.
• İzin verilirse istek arka uca iletilir.
• Reddedilirse API Gateway anında 401 döndürür.

 

Hangi yetkilendirici

 

• Kullanıcıya dönük uygulamalar için Cognito'yu seç.
• Yönetilen kayıt, oturum açma ve jeton doğrulama sunar.
• Özel kod gerekmez.
• Özel mantık gerektiğinde Lambda'yı seç.
• Üçüncü taraf kimlik sağlayıcıları için iyi bir seçimdir.
• Ya da Cognito'nun ötesine geçen kurallar için.

Yetkilendirici önbellekleme

 

• Yetkilendirici yanıtları önbelleğe alınır.
• Bu, sık kullanılan uç noktalarda gecikme ve maliyeti düşürür.
• Önbellek TTL'i yapılandırılabilir.
• 0 ile 3600 saniye arası.
• Varsayılan 300 saniyedir.
• TTL'i 0 yapmak önbelleği kapatır.

API Gateway kaynak ilkeleri

 

• Kimlerin bir API'ye erişebileceğini belirleyen ilkeler tanımla.
• AWS hesabına göre kısıtla.
• IP aralığına göre kısıtla.
• VPC'ye göre kısıtla.
• İç API'leri kilitlemeye ve maruziyeti azaltmaya yardımcı olur.

Şifreleme

• API Gateway varsayılan olarak TLS ile HTTPS uç noktalarını destekler.
• HTTPS, istemci ile ağ geçidi arasındaki veriyi taşırken şifreler.
• AWS Certificate Manager (ACM) ile tümleşir.
• ACM, özel alanlar için sertifika yönetimini kolaylaştırır.
• Özel alan sertifikaları ücretsizdir.
• API'leri asla şifrelenmemiş HTTP üzerinden sunma.

 

Karşılıklı TLS (mTLS)

 

• API Gateway karşılıklı TLS'yi (mTLS) destekler.
• İstemcileri sertifikalarla doğrular.
• Yapılandırılmış alan adı gerekir.
• Makineden makineye iletişimde yaygındır.
• Her iki taraf da birbirinin kimliğini doğrular.

 

API throttling ve oran sınırlama

• Throttling, arka uç sistemlerini korur.
• API güvenilirliğini artırır.
• Olmazsa arka uç servisler aşırı yüklenir.
• Oran limitleri, saniyedeki sabit istekleri sınırlar.
• Patlama limitleri geçici trafik sıçramalarını kaldırır.
• Limit aşılırsa 429 Too Many Requests döner.

 

Yaygın açık istismarlara karşı koruma

 

• API Gateway'e AWS WAF ekle.
• Kötü niyetli istekleri API'ne ulaşmadan engeller.
• SQL enjeksiyon girişimlerini durdurur.
• Cross-site scripting'i (XSS) engeller.
• Bilinen kötü niyetli IP aralıklarını bloklar.

Kullanım planları ve API anahtarları

 

• İstemcilerin API'lerini nasıl tüketeceğini kontrol et.
• İstek kotaları yapılandır.
• Oran limitleri tanımla.
• Abonelik katmanları ayarla.
• İstemci başına tüketim sınırları ata.

Cross-Origin Resource Sharing (CORS)

 

• CORS, tarayıcıların kökenler arası API isteği yapmasını sağlar.
• Olmadan, geçerli tarayıcı istekleri engellenebilir.
• Aşırı izinli CORS bir güvenlik riski.
• Üretimde Access-Control-Allow-Origin: * kullanmaktan kaçın.
• CORS'u her zaman güvenilir kökenlerle sınırla.

CORS başlıkları ve ön uçuş istekleri

• Gerçek istekten önce bir ön uçuş OPTIONS isteği çalışır.
• API'nin kökenler arası erişime izin verdiğini doğrular.
• API Gateway gerekli CORS yanıt başlıklarını ekler.
• Non-Proxy tümleştirmelerde bunları otomatik yönetir.
• Proxy tümleştirmelerde Lambda'nın CORS başlıklarını döndürmesi gerekir.
• Lambda'nın ön uçuş OPTIONS isteğini de işlemesi gerekir.

 

Hadi pratik yapalım!

AWS üzerinde Uygulama Geliştirme