マルチテナントの SaaS API の設計において、低遅延・高可用性を保ちながら、セキュリティとコストを両立させたい。多数の顧客が同じ API を利用するが、顧客ごとにレート制限・課金を適用する必要があり、認証は外部 IdP で行いバックエンドは Lambda と API Gateway で構成する。最適な設計はどれか。

🎯正解の決め手・公式要点まとめ

API Gateway の REST API では、テナントごとに API キーと使用量プラン（Usage Plan）を紐付けることで、顧客ごとの課金やレート制限（スロットリング）を標準機能として容易に実装できます。また、特定の高負荷なテナント（ホットテナント）に対して個別の Lambda 関数を用意し、予約済み同時実行数（Reserved Concurrency）を設定することで、そのテナントの急激な負荷上昇が他のテナントの実行環境を圧迫する「ノイジーネイバー問題」を防ぎ、低遅延と高可用性を両立できます。 HTTP API を選択する構成では、API キーや使用量プランがサポートされていないため、レート制限や課金管理を自前で実装する必要があり、開発・運用コストが増大します。 テナントごとに IAM ロールを動的に切り替える構成は、管理が極めて複雑になり、API Gateway と Lambda の標準的な統合パターンに反するため不適切です。 EC2 上のマイクロサービスに移行する構成は、サーバーレスの利点（自動スケーリング、運用負荷の軽減、コスト効率）を放棄することになり、要件に合致しません。