Download as PDF, PPTX
![利用IAM Role控制权限访问
{
"Version": "2012-10-17",
"Statement": [
{
"Effect": "Allow",
"Action": [
"dynamodb:GetItem",
"dynamodb:PutItem",
"dynamodb:Scan",
"lambda:InvokeFunction",
"execute-api:invoke"
],
"Resource": [
"arn:aws:dynamodb:us-east-1:xxxxxx:table/posts",
"arn:aws:lambda:us-east-1:xxxxx:function:test”,
"arn:aws:execute-api:us-east-1:xxxx:API_ID/*/POST/comments"
]
}
]
}
The role allows calls to:
• DynamoDB
• API Gateway
• Lambda
定义Role可以被访问的资源细
腻度](https://image.slidesharecdn.com/serverlessapigatewaylambda-170318153514/85/Serverless-api-gateway-lambda-30-320.jpg)
Serverless api gateway + lambda
- 1. © 2016, AmazonWeb Services, Inc. or its Affiliates. All rights reserved. 李磊 Leon Li, Solutions Architect 创建安全&可扩展的无服务化API 使用Amazon API Gateway and AWS Lambda
- 2. 1. 一种全新的开发模式 2. 利用AmazonAPI Gateway定义API 3. 在AWS Lambda中处理应用程序逻辑 4. 结合AWS IAM和API Gateway的自定义认证 5. 结合SDK生成工具简化移动端开发 6. Streeet示例程序 7. 开源无服务框架和工具简介 议程
- 3. • 拥有一年以上开发经验，对编程语言和编程模型有一定了 解和实践的用户 • 对微服务有一定了解，并且了解RestfulAPI定义的开发人 员 面向人员
- 4. Managed 全新的编程模型 InternetMobile apps AWS Lambda functions AWS APIGateway cache Endpoints on Amazon EC2 Any other publicly accessible endpoint Amazon CloudWatch Amazon CloudFront API Gateway API Gateway Other AWS services AWS Lambda functions
- 5. 要点 AWS Lambda +Amazon API Gateway代表没有基础架构 需要管理 – 我们将会自动伸缩 安全很重要，也很复杂 – 利用AWS Identity and Access Management解决这些问题 Swagger 和client SDK生成 – 我们已经解决了大部分的工 作
- 6. 我们将会用到的服务 Amazon API GatewayAWS Lambda AWS Lambda Amazon DynamoDB 定义REST API和API 路由 执行应用程序逻辑 自定义Authorizer NoSql数据存储
- 7.
- 8. Unauthenticated API处理流程 Mobile apps AWSLambda lambdaHandler Register Login API Gateway Authenticated Mobile apps AWS Lambda lambdaHandler ListPosts GetPosts API Gateway GetComments Invoke with caller credentials Authorized by IAM
- 9.
- 10.
- 11. Amazon API Gateway简介 管理部署以及多版本和多环 境 定义和托管API 利用Identityand Access Management控制访问云端 资源 利用AWS认证 DDoS 防御以及自动管控 流量代理到应用后端 管控网络流量
- 12.
- 13. 控制资源和动作方法 • POST –在DynamoDB table中增加 一条用户信息/register • POST – 接收用户名密码并认证用 户/login • POST – 生成一条新的评论信息 • GET – 获取评论列表 /comments • GET – 获取一条Post/post/{id} Unauthenticated Authenticated
- 14. Method Response Integration Request MethodRequest Method Swagger定义自动化api整合流程 /register: post: summary: Registers a new user consumes: - application/json produces: - application/json parameters: - name: NewUser in: body schema: $ref: '#/definitions/User’ x-amazon-apigateway-integration: type: aws uri: arn:aws:apigateway:us-east-1:lambda:path/2015-03-31... credentials: arn:aws:iam::964405213927:role/pet_store_lambda_invoke ... responses: 200: schema: $ref: '#/definitions/RegisterUserResponse'
- 15. 使用Swagger的好处 • API的定义将会透明保存在代码的Repository中 • API的定义可以用于结合其它工具生成文档便于和其它团 队协同工作 •API可以通过命令行工作导入并轻松部署到API Gateway 中托管并开始提供服务
- 16.
- 17. 高性能的扩展性; 收费灵活高效没有基础架构需要管理 即用即付: Lambda自动计费您的计 算资源. 以100ms为最低计费单元 Bring Your Own Code Lambda 函数: 无状态，事件驱动的代码模型 支持预设的代码运行环境，Node.js, Python和Java 专注于您的业务逻辑，没有基础架构需 要管理.只需要上传代码 AWS Lambda 将会处理剩下其它的事情 AWS Lambda简介
- 18. Lambda处理器 lambdaHandler Register action Login action Createcomments action Get comments action Credentials generation Streeet database Amazon API Gateway
- 19.
- 20.
- 21. JWT – JsonWeb Token RFC 7519 / HMAC256 / HMAC512 etc…
- 22. The API definition •POST • 接收用户的username, password • 加密密码并在DynamoDB中创建用户资料 • 生成基于JWT的密匙 • 返回用户和密匙 /register • POST • 接收用户的username, password • 比对DynamoDB验证用户登录 • 成功后利用JWT加密并生成Token • 返回登录成功后的JWT Token /login
- 23. 自定义认证 - Lambda Client LambdaAuth function API Gateway OAuth token Policy is evaluated Policy is cached Endpoints on Amazon EC2 Any other publicly accessible endpoint AWS Lambda functions 403 AWS KMSJWT Provider
- 24. IAM Policy是所有AWS服务的权限工具 Mobile appsAWS Lambda lambdaHandler API Gateway Invoke with caller credentials Service calls are authorized using the IAM role 更多介绍 http://amzn.to/1YkxcjR DynamoDB
- 28.
- 29.
- 30. 利用IAM Role控制权限访问 { "Version": "2012-10-17", "Statement":[ { "Effect": "Allow", "Action": [ "dynamodb:GetItem", "dynamodb:PutItem", "dynamodb:Scan", "lambda:InvokeFunction", "execute-api:invoke" ], "Resource": [ "arn:aws:dynamodb:us-east-1:xxxxxx:table/posts", "arn:aws:lambda:us-east-1:xxxxx:function:test”, "arn:aws:execute-api:us-east-1:xxxx:API_ID/*/POST/comments" ] } ] } The role allows calls to: • DynamoDB • API Gateway • Lambda 定义Role可以被访问的资源细 腻度
- 31. 使用IAM和AWS平台认证的益处 • 关注分离 –我们的认证策略代理给了AWS平台，使得可 以更加专注于业务开发 • 利用IAM policies可以轻松的管理整个平台的权限策略 • Roles或者可以轻松的利用一个API请求管理
- 34.
- 35.
- 36.
- 37.
- 38.
- 39.
- 40. 总结 AWS Lambda +Amazon API Gateway没有服务器需要被管理 Streeet示例程序后台 https://github.com/legocode/Streeet 安全很总要，但也很复杂，利用IAM来完成大部分的工作 利用Swagger和SDK生成完成尽可能多的自动化工作
- 41.
- 42.