API Gateway 実践: HTTP API の Private 統合と JWT 認証

API Gateway を選定するときは、REST API と HTTP API のどちらを使うかで迷いやすいです。 この記事では、HTTP API を使う前提で、Private Integration と JWT 認証の実務ポイントを整理します。

この記事の結論

まずは HTTP API + JWT Authorizer + Private Integration の最小構成から始めるのが現実的です。 REST API は、HTTP API で不足機能が明確に出た場合に追加検討する方が、設計と運用の負荷を抑えられます。

HTTP API を選ぶ場面

• シンプルな API 構成でよい
• コストとレイテンシを抑えたい
• JWT 認証を手軽に使いたい

参考:

• HTTP API の Private Integration
• HTTP API の JWT Authorizer
• HTTP API と REST API の比較

Private Integration のポイント

• VPC Link 経由で内部サービスに接続
• インターネット公開を抑えた API 構成にしやすい
• ただし VPC Link の制約や運用コストは事前確認が必要

JWT Authorizer のポイント

• トークン検証を API Gateway 側へ委譲できる
• バックエンド実装を簡素化しやすい
• クレーム設計（aud / iss / scope）は先に決める

実装前チェックリスト

• REST API 固有機能が本当に必要か
• Private 統合に必要なネットワーク構成が揃っているか
• 認可ルール（scope 単位）を API ごとに定義できているか

実装前に読みたい資料

• VPC Endpoint / PrivateLink 初学者向け
• REST API と HTTP API の違い（VPC Link 観点）
• HTTP API + JWT Authorizer の実装例
• Cognito User Pool カスタム属性作成

まとめ

まずは HTTP API + JWT + Private Integration で最小構成を作り、 不足機能が出たときに REST API を検討する流れが現実的です。