SaaS APIレート制限とは？

クラウドベースのアプリケーションのSaaS APIは、クライアントデバイス、ユーザー、IP、キー、またはテナントに対して、一定期間におけるサービスへのAPI呼び出し数を制限します。クライアントは特定の数のリクエストを送信するように構成されています。この種のAPI制限は、サービスインフラのキャパシティに影響を与えるだけでなく、ユーザーアクセス制限を支援し、クラウド支出管理にも役立ちます。

レート制限メカニズムにおいて、リクエストしきい値に達したサーバーがクライアントに送信する「‘429 Too Many Requests’」メッセージの監視は一般的な慣行です。多くの場合、サーバーは「“Retry-After”」ヘッダーを使用して、リクエストの再試行間に推奨される遅延をクライアントに通知します。

レート制限が具体的に行うことは以下の通りです：

• これは、予期せぬ発生源からの大量のリクエストによって生じる可能性のあるシステム運用上の問題を解決することに関連しています。
• ウェブスクレイピングやブルートフォースハッキングなどの活動を防止します。
• オートスケーリングやダウンストリームシステムによるリソース使用から発生するコストに対処します。

1. Retry-Afterヘッダーに記載されている指示に従ってください。
2. ランダムな要素を加えた指数バックオフを試してください。
3. リクエストを「キュー」に入れるか、高い並行性で負荷を分散させてください。
4. クライアント側で、​‍​‌​‍​‌並行処理を必要とするワークロードに対し、トラフィックおよびキュー管理用のトークンバケットを実装できます。

一般的なソリューションは、APIゲートウェイ、エッジセキュリティプラットフォーム、サービス制御またはクォータシステムなど、様々なレイヤーで構成されます。以下のパターンが適用可能です。

• キーごとの制限
• テナントごとの制限
• エンドポイント固有の制限
• 階層プラン

レート制限がサポートスタッフへの顧客からの問い合わせ数の増加に繋がる場合、リクエスト制限の根拠を説明することが望ましいです。プロバイダーには以下のことが推奨されます：
・異なるHTTPステータスコードを使用する。
・Retry-Afterおよびレート制限ヘッダーを表示する。
・ドキュメントに記載されている制限は、開発者に伝えるべきである。
・可能な場合、顧客の利用統計または残りのクォータを表示する。

レート制限は不正利用、コスト、公平性を管理しますが、分散システムにおける問題解決におけるその有効性には限界があるかもしれません。レート制限と他の制御との統合は検討に値します。

• クォータ
• WAFまたはボット保護
• 認証および冪等性
• 監視