🎟️ धडा 25 — API Gateway: APIs साठी front desk

📍 तुम्ही इथे आहात: 25 पैकी धडा 25 — शेवटचा धडा! 🎓 · मागील: lesson-24-waf-shield

📦 या ब्रँचमध्ये काय आहे

सगळे 25 धडे — संपूर्ण course. नकाशावरचा शेवटचा डबा म्हणजे तुमची apps सगळ्यात जास्त ज्याच्याशी बोलतील तो. खरी file:

apigw/api.tf — धडा 19 च्या hello मदतनीसासमोर एक HTTP API

🧒 5 वर्षांच्या मुलाला समजावल्यासारखे

Reception (ALB) browsers च्या गर्दीसाठी बांधलेले आहे. API Gateway 🎟️ हे वेगळे front desk आहे, programs नी programs ना call करण्यासाठी बांधलेले:

Routes 🪧 — GET /grades/{id} → हा मदतनीस; POST /homework → तो. प्रत्येक route Lambda कडे (धडा 19 — बाकच नाहीत), VPC link मार्गे ALB मागच्या बाकांकडे, किंवा कोणत्याही HTTP URL कडे निर्देश करू शकतो.
ओळख तपासणी 🪪 — पुढे पाठवण्याआधी, desk JWT तपासू शकते (Cognito किंवा कोणत्याही OIDC issuer कडून), IAM signatures मागू शकते, किंवा निर्णयासाठी एका छोट्या Lambda authorizer ला विचारू शकते. तुमच्या मदतनिसांना unauthenticated request कधीच दिसत नाही.
तिकिटे ⏱️ — throttling (दर second ला requests, burst) मदतनिसांना चेंगराचेंगरीपासून वाचवते; usage plans + API keys partner A ला दिवसाला 1,000 calls आणि partner B ला 10,000 देतात — मोजलेले, प्रत्येक key नुसार.
Stages 🎭 — dev, prod: तेच routes, वेगळी settings आणि पत्ते; custom domain (api.school.com, धडा 23 ची phonebook + एक certificate वापरून) कुरूप default URL लपवतो.
ALB न करणाऱ्या जादा गोष्टी: एकाच setting मध्ये CORS, request/response transformation, caching, प्रत्येक route चे logging आणि metrics, push साठी WebSocket APIs.

दोन प्रकार: HTTP API (नवा, स्वस्त, जलद — Lambda/REST-सारख्या कामासाठी default) आणि REST API (जुना, जास्त बटणे: caching, request validation, usage plans). त्याऐवजी ALB केव्हा वापरायचा: बाकांकडे सतत जास्त traffic (तासाप्रमाणे खर्च प्रति-request पेक्षा स्वस्त पडतो), non-HTTP protocols, किंवा वरीलपैकी काहीच लागत नसेल तेव्हा.

🗺️ आकृती

flowchart LR
    c["📱 client app"]
    gw["🎟️ API Gateway (HTTP API)<br/>🪪 JWT authorizer · ⏱️ throttle 100 rps<br/>🎭 stage: prod · api.school.com"]
    lam["⚡ Lambda hello (L19)"]
    alb["🛎️ ALB via VPC link → desks"]
    c -->|"1 GET /grades/3A + token"| gw
    gw -->|"2 token ok, under quota"| lam
    gw -.->|"other routes"| alb
    gw -->|"✗ 401 / 429"| c

❓ काय

किंमत: HTTP API ≈ दहा लाख requests ला $1; REST API ≈ $3.50; अधिक बाहेर जाणारा data. तासाप्रमाणे शुल्क नाही — रिकामे = $0 (Lambda धड्याचे अर्थशास्त्र, front desk पर्यंत वाढवलेले).
Integrations: Lambda proxy (event आत, JSON बाहेर), HTTP proxy, private (VPC link → ALB/NLB), AWS service (थेट SQS मध्ये लिहा).
Auth पर्याय: JWT (HTTP API), IAM SigV4, Lambda authorizer, Cognito user pools (REST), API keys (ओळख पटवणे, authentication नव्हे).
माहीत असायला हव्या मर्यादा: 29 s integration timeout (मोठी कामे → async + polling किंवा WebSockets), 10 MB payload.
Observability: CloudWatch मध्ये access logs (धडा 18), प्रत्येक route चे 4xx/5xx/latency metrics, X-Ray tracing.

🤔 का

प्रत्येक mobile app, partner integration आणि webhook म्हणजे एक API. API Gateway त्यांना कंटाळवाणे, बरोबर front desk देतो — auth, throttling, metering, staging — जे नाहीतर तुम्हाला प्रत्येक मदतनीसात code म्हणून लिहावे लागले असते, ते configuration म्हणून. Lambda सोबत ती संपूर्ण "serverless backend" ची गोष्ट आहे; ALB सोबत ते programs साठी campus चे प्रवेशद्वार आहे.

🔧 कसे

aws apigatewayv2 get-apis --query 'Items[].{name:Name,proto:ProtocolType,endpoint:ApiEndpoint}'
# quick smoke test of a deployed stage:
curl -s "$API_ENDPOINT/hello?name=class%203A"        # → {"greeting": "hello, class 3A"}

🧪 करून पाहा (~10 मिनिटे, ~मोफत)

cd apigw && terraform apply           # HTTP API → lesson 19's hello Lambda, stage $default
curl -s "$(terraform output -raw api_url)/hello?name=school"
curl -si "$(terraform output -raw api_url)/nope"       # 404 from the desk, Lambda never woke
terraform destroy

✅ तपासा — तुम्हाला काय दिसायला हवे

curl API_URL/hello?name=school greeting परत देतो; curl -i API_URL/nope desk कडून 404 देतो आणि Lambda log मध्ये कोणतेही invocation दिसत नाही.

🧹 साफसफाई — चालू ठेवू नका

terraform destroy — प्रति-request billing मुळे रिकामे असताना काहीच खर्च नाही, पण Lambda आणि role तरीही पसारा आहेत

⚠️ नेहमीच्या चुका

API key ला authentication समजणे — ती ओळख पटवते, authenticate करत नाही
API Gateway मागे 29 seconds चे काम (30 s timeout) — async करा
सतत जास्त traffic असलेल्या fleet समोर API Gateway वापरणे — तिथे ALB स्वस्त आहे

🎓 तुम्ही करून दाखवले — पुन्हा

ओळख, बाक, campus, lockers, reception, phonebook, दप्तर कार्यालय, प्रगतिपुस्तके, मदतनीस, मीटर — आणि आता corridors, टपालपेटी, receptionist चे मूड, bouncer, आणि API front desk. आता तुम्ही बाहेर दिसणारी कोणतीही AWS architecture आकृती वाचू शकता आणि प्रत्येक डबा, आणि त्याचा खर्च, ओळखू शकता. शेजारी: Docker डबे भरतो, Kubernetes त्यांना या campus वर चालवतो, ArgoCD त्यांना git मधून deploy करतो. 🏫

🎟️ Lesson 25 — API Gateway: the front desk for APIs

📍 You are here: Lesson 25 of 25 — the final lesson! 🎓 · Previous: lesson-24-waf-shield

📦 What's in this branch

All 25 lessons — the complete course. The last box on the map is the one your apps will talk to most. Real file:

apigw/api.tf — an HTTP API in front of lesson 19's hello helper

🧒 Explain like I'm 5

Reception (the ALB) is built for crowds of browsers. API Gateway 🎟️ is a different front desk, built for programs calling programs:

Routes 🪧 — GET /grades/{id} → this helper; POST /homework → that one. Each route can point at a Lambda (lesson 19 — no desks at all), at desks behind the ALB via a VPC link, or at any HTTP URL.
The ID check 🪪 — before forwarding, the desk can verify a JWT (from Cognito or any OIDC issuer), require IAM signatures, or ask a small Lambda authorizer to decide. Your helpers never see an unauthenticated request.
Tickets ⏱️ — throttling (requests per second, burst) protects the helpers from stampedes; usage plans + API keys give partner A 1,000 calls/day and partner B 10,000 — metered, per key.
Stages 🎭 — dev, prod: same routes, different settings and addresses; a custom domain (api.school.com, via lesson 23's phonebook + a certificate) hides the ugly default URL.
Extras the ALB doesn't do: CORS in one setting, request/response transformation, caching, per-route logging and metrics, WebSocket APIs for push.

Two flavors: HTTP API (newer, cheaper, faster — the default for Lambda/REST-ish work) and REST API (older, more knobs: caching, request validation, usage plans). When to use the ALB instead: steady high traffic to desks (hourly beats per-request), non-HTTP protocols, or when you need none of the above.

🗺️ Diagram

flowchart LR
    c["📱 client app"]
    gw["🎟️ API Gateway (HTTP API)<br/>🪪 JWT authorizer · ⏱️ throttle 100 rps<br/>🎭 stage: prod · api.school.com"]
    lam["⚡ Lambda hello (L19)"]
    alb["🛎️ ALB via VPC link → desks"]
    c -->|"1 GET /grades/3A + token"| gw
    gw -->|"2 token ok, under quota"| lam
    gw -.->|"other routes"| alb
    gw -->|"✗ 401 / 429"| c

❓ What

Pricing: HTTP API ≈ $1 per million requests; REST API ≈ $3.50; plus data out. No hourly charge — idle = $0 (the Lambda lesson's economics, extended to the front desk).
Integrations: Lambda proxy (event in, JSON out), HTTP proxy, private (VPC link → ALB/NLB), AWS service (write straight to SQS).
Auth options: JWT (HTTP API), IAM SigV4, Lambda authorizer, Cognito user pools (REST), API keys (identification, not authentication).
Limits to know: 29 s integration timeout (long jobs → async + polling or WebSockets), 10 MB payload.
Observability: access logs to CloudWatch (lesson 18), per-route 4xx/5xx/latency metrics, X-Ray tracing.

🤔 Why

Every mobile app, partner integration, and webhook is an API. API Gateway gives them the boring, correct front desk — auth, throttling, metering, staging — as configuration instead of code you'd otherwise write into every helper. Paired with Lambda it is the whole "serverless backend" story; paired with the ALB it is the doorway to the campus for programs.

🔧 How

aws apigatewayv2 get-apis --query 'Items[].{name:Name,proto:ProtocolType,endpoint:ApiEndpoint}'
# quick smoke test of a deployed stage:
curl -s "$API_ENDPOINT/hello?name=class%203A"        # → {"greeting": "hello, class 3A"}

🧪 Try it (~10 min, ~free)

cd apigw && terraform apply           # HTTP API → lesson 19's hello Lambda, stage $default
curl -s "$(terraform output -raw api_url)/hello?name=school"
curl -si "$(terraform output -raw api_url)/nope"       # 404 from the desk, Lambda never woke
terraform destroy

✅ Verify — what you should see

curl API_URL/hello?name=school returns the greeting; curl -i API_URL/nope returns 404 from the desk and the Lambda log shows no invocation.

🧹 Clean up — do not leave running

terraform destroy — per-request billing means idle costs nothing, but the Lambda and role are still clutter

⚠️ Common mistakes

treating an API key as authentication — it identifies, it doesn't authenticate
a 29-second job behind API Gateway (30 s timeout) — go async
using API Gateway in front of a steady high-traffic fleet — an ALB is cheaper there

🎓 You made it — again

Identity, desks, campus, lockers, reception, phonebook, record office, report cards, helpers, the meter — and now the corridors, the postbox, the receptionist's moods, the bouncer, and the API front desk. You can read any AWS architecture diagram in the wild and know every box, and what it costs. Next door: Docker packs the lunchboxes, Kubernetes runs them on this campus, ArgoCD deploys them from git. 🏫

← Previouswaf shield Finished! Take the quiz →check what stuck

This page is the lesson's README from the lesson-25-api-gateway branch, shown here so the whole School stays on one site. Code files open on GitHub at the same branch.