「Forbidden」じゃ分からない！API Gatewayのエラーレスポンスをカスタマイズして分かりやすくしてみた

{
  "message": "このリクエストはブロックされています",
  "returnCode": "40301"
}

{
  "message": "このリクエストはブロックされています",
  "returnCode": "40302"
}

// REST API の作成
const api = new apigateway.RestApi(this, 'CustomErrorsApi', {
    restApiName: 'Custom Errors API',
    deployOptions: {
        stageName: 'prod',
    },
});

// APIキーの作成
const apiKey = new apigateway.ApiKey(
    this, 'ApiKey', {
    apiKeyName: 'TestApiKey',
    }
);

// 使用量プランの作成
const plan = new apigateway.UsagePlan(
    this, 'UsagePlan', {
    name: 'Standard',
    apiStages: [
        {
            api,
            stage: api.deploymentStage,
        },
    ],
});

// 使用量プランにAPIキーを関連付け
plan.addApiKey(apiKey);

// シンプルな Lambda 関数を作成
const helloFunction = new lambda.Function(this, 'HelloHandler', {
    runtime: lambda.Runtime.NODEJS_18_X,
    handler: 'index.handler',
    code: lambda.Code.fromInline(`
      exports.handler = async function() {
        return {
          statusCode: 200,
          body: JSON.stringify({ message: 'Hello Lambda' })
        };
      }
    `)
});

/**
 *  API Gateway のルートに GET メソッドを追加し、Lambda と統合
 *  APIキー要求を有効化
 */
api.root.addMethod('GET', new apigateway.LambdaIntegration(helloFunction), {
  apiKeyRequired: true  // APIキーを必須に設定
});

// WAFテスト用のエンドポイントを追加
const wafTestResource = api.root.addResource('waf-test');
wafTestResource.addMethod('GET', new apigateway.LambdaIntegration(helloFunction))

// AWS WAFの設定 - 特定のパス（waf-test）だけをブロック
const webAcl = new wafv2.CfnWebACL(this, 'ApiWaf', {
  name: 'ApiGatewayWAF',
  scope: 'REGIONAL',
  defaultAction: { allow: {} },
  visibilityConfig: {
    cloudWatchMetricsEnabled: true,
    metricName: 'ApiGatewayWAF',
    sampledRequestsEnabled: true
  },
  rules: [
    // 特定のパス（waf-test）をブロックするルール
    {
      name: 'BlockWafTestPath',
      priority: 0,
      action: { block: {} },
      statement: {
        byteMatchStatement: {
          fieldToMatch: {
            uriPath: {}
          },
          positionalConstraint: 'CONTAINS',
          searchString: 'waf-test',  // 'waf-test'を含むパスをブロック
          textTransformations: [
            {
              priority: 0,
              type: 'NONE'
            }
          ]
        }
      },
      visibilityConfig: {
        cloudWatchMetricsEnabled: true,
        metricName: 'BlockWafTestPath',
        sampledRequestsEnabled: true
      }
    }
  ]
})

/**
 * WAFとAPI Gatewayを関連付ける
 *
 * この関連付けにより、指定したAPI Gatewayステージへのリクエストに対してWAFのルールが適用され、
 * 不正なトラフィックからAPIを保護する。
 */
new wafv2.CfnWebACLAssociation(this, 'WafApiAssociation', {
  resourceArn: `arn:aws:apigateway:${this.region}::/restapis/${api.restApiId}/stages/${api.deploymentStage.stageName}`,
  webAclArn: webAcl.attrArn
});

curl -X GET https://0a0z30pane.execute-api.ap-northeast-1.amazonaws.com/v1/ \
  -H "x-api-key: APIキーを入力"

{"message":"Hello Lambda"}% 

{"message":"Forbidden"}%  

curl -X GET https://0a0z30pane.execute-api.ap-northeast-1.amazonaws.com/v1/waf-test \
  -H "x-api-key: APIキー"

{"message":"Forbidden"}

// 403 - 40301: 無効なAPIキーを使用した場合
new apigateway.GatewayResponse(this, 'InvalidApiKeyResponse', {
  restApi: api,
  type: apigateway.ResponseType.INVALID_API_KEY,
  statusCode: '403',
  templates: {
    'application/json': JSON.stringify({
      message: '無効なAPIキーです',
      returnCode: '40301'
    })
  }
});

// 403 - 40302: リクエストがAWS WAFによってブロックされた場合
new apigateway.GatewayResponse(this, 'WafFilteredResponse', {
  restApi: api,
  type: apigateway.ResponseType.WAF_FILTERED,
  statusCode: '403',
  templates: {
    'application/json': JSON.stringify({
      message: 'このリクエストはブロックされています',
      returnCode: '40302'
    })
  }
});

curl -X GET https://0a0z30pane.execute-api.ap-northeast-1.amazonaws.com/v1/ \
  -H "x-api-key: 正しいAPIキー"

{"message":"Hello from Lambda"}

curl -X GET https://0a0z30pane.execute-api.ap-northeast-1.amazonaws.com/v1/ \
  -H "x-api-key: 間違ったAPIキー"

{"message":"無効なAPIキーです","returnCode":"40301"}

curl -X GET https://0a0z30pane.execute-api.ap-northeast-1.amazonaws.com/v1/waf-test \
  -H "x-api-key: 正しいAPIキー"

{"message":"このリクエストはブロックされています","returnCode":"40302"}