前提

プライベートサブネット内にECS Fargateでアプリケーションがホスティングされており、その前段にALB (Internal)が配置されている構成があるとします。

普段はALBを通してVPC内のサービスからECSのアプリケーションへ疎通するようにしていますが、VPC外のリソースからアプリケーションに通信したいケースが出てきました。
その際、ALBの前段にAPI Gatewayを構築することにしたのですが、HTTP APIとREST API、どちらを採用するか、今回比較した上で検討してみたいと思います！

ECS Fargateとの統合

API Gatewayの統合機能を用いてECS Fargateと接続する場合、間にVPCリンクを挟む必要があります。
REST API, HTTP APIではVPCリンクの仕様が異なるため、Fargateと接続する際の構成も異なります。

HTTP API

HTTP APIで提供されるプライベート統合では、VPCリンク経由でALBに接続可能。

REST API

REST APIにおいては、VPCリンクのターゲットとしてサポートされているのがNLBのみのため、VPCリンク -> NLB -> ALB(Internal) -> ECS といった構成となり、ALBの前段にNLBを挟む構成になります。

セキュリティ周り

WAF / WebACL

HTTP APIではWeb ACLをアタッチすることができない(2024/12現在)

HTTP APIを採用した上でWAFを利用したい場合は、前段にCloudFrontを置く構成にして、CloudFrontにWeb ACLをアタッチすると良いでしょう。

参考

Authorizer / Resource Policy

REST APIと同様, Cognito, IAM, Lambda関数を用いたAuthorizerの設定ができる。

しかしリソースポリシーは利用不可

例えばIP制限を行いたい場合、リソースポリシーの代わりに以下の手段を用いると良いでしょう。

前段にCloudFrontを置く構成にして、WAFによるアクセス制限を行う
Lambda関数によるAuthorizerで送信元IPによるアクセス制御を行う

相互TLS認証

mTLSとはMutual Transport Layer Security (相互トランスポート層セキュリティ)の略称で、さらに、略して「相互TLS認証」と言います。クライアントとサーバーの両方が互いに証明書を利用して認証することで、セキュアに認証できる方式のことを指します。

REST API, HTTP APIともに相互TLS認証が利用可能です。

コスト面

東京リージョンでの料金

HTTP API

リクエスト数(月間)	料金
最初の 3 億	USD 1.29
3 億以上	USD 1.18

REST API

リクエスト数(月間)	料金
最初の 3 億 3,300 万	USD 4.25
次の 6 億 6,700 万	USD 3.53
次の 190 億	USD 3.00
200 億以上	USD 1.91

HTTP APIを用いる場合の方が基本的にコストが低い
また、VPC内のFargateと統合するという前提であれば、HTTP APIを採用すればNLBを配置するコストも削減できます。

VPC Linkの料金

REST APIとHTTP APIではVPC Linkの仕様も異なり、RESTの場合はVPCエンドポイント(Interface), HTTPの場合はENIがVPCリンクの実態となっております。

VPCエンドポイントは1時間あたり0.014 USDの料金と、データ処理で1GBあたり0.01 USDが発生しますが、ENI自体には料金が発生しません。

そのため、VPCリンクに関してもHTTP APIの方が安くつくということになります。

HTTP APIのVPCリンクは60日間トラフィックがないとENIが削除される仕様となっているので、留意しておく必要があります。

参考

まとめ

設定項目のシンプルさ・コスト効率の良さという観点ではHTTP APIを採用した方が良さそうに見えます。
また、HTTP APIのVPCリンクはREST APIと異なり、ALBもターゲットとして設定できるのでHTTP APIを採用することで余分にNLBを立てる必要もなくなるでしょう。

しかし、WAFのWeb ACLを直接アタッチできない, リソースポリシーによるアクセス制御に対応してないといった部分もあるので、要件によってはREST APIを選択した方が良い場合もあるでしょう。