Removing a Hidden Round Trip from a Multi-Region AWS API

KẾT LUẬN

SigV4 vốn buộc chữ ký API vào một region duy nhất, khiến client phải thực hiện một pre-flight round trip (DiscoverRegion) để xác định region trước khi gọi thực sự — một bước đi ẩn chỉ tồn tại vì mô hình xác thực, không mang giá trị nghiệp vụ. Việc chuyển sang SigV4a với chữ ký ECDSA-P256 cho phép chữ ký hợp lệ trên tập region, loại bỏ hoàn toàn round trip ẩn đó, trao quyền routing về hạ tầng (Route 53/CloudFront), và đơn giản hóa logic retry. Thay đổi kỹ thuật chỉ là 1 dòng code, nhưng chi phí phối hợp rollout cho các team nội bộ mới là thách thức thực sự — mất tổng cộng 6 tháng. Bài học cốt lõi: đừng ngại định kỳ xem xét lại các workaround cũ, vì những ràng buộc từng biện minh cho chúng có thể đã không còn tồn tại.

LUẬN ĐIỂM CHÍNH

• SigV4 gắn chữ ký vào một region duy nhất, buộc client phải biết trước region đích và tạo ra pre-flight round trip ẩn chỉ để phục vụ xác thực, không mang giá trị nghiệp vụ
• SigV4a dùng ECDSA-P256 (thay vì HMAC-SHA256), cho phép một chữ ký hợp lệ trên tập region — infrastructure (Route 53, CloudFront) đảm nhận routing thay vì client
• Động lực chính để migrate không đến từ latency mà từ các sự cố regional outage tại us-east-1 (2021, 2023, 2025) khiến client bị kẹt cứng vào region đã sign, không thể failover
• Việc code chỉ là 1 dòng diff (sign với regionSet thay vì region string), nhưng chi phí phối hợp rollout — firewall, SDK version, team tự implement signing — chiếm phần lớn thời gian

LUẬN ĐIỂM PHỤ

• Round trip ẩn gây latency không nhỏ: p90 same-region 75-100ms, cross-region gần 315ms, cross-continent (us-west-2 → ap-south-1) lên đến 1s
• Client state và operational coupling: client phải cache region, retry phải invalidate cache rồi chạy lại discovery — đường dẫn lỗi phức tạp hơn nhiều so với vẻ ngoài
• SigV4a không phải luôn tốt hơn: một số AWS service (HTTP API, S3 regional endpoint) không hỗ trợ, và với single-region service thì SigV4 đơn giản hơn, region-scoping còn là tính năng hữu ích cho compliance

LUẬN CỨ & VÍ DỤ

• Sự cố us-east-1 thực tế: outage networking (12/2021), Lambda (06/2023), DynamoDB (10/2025) — client đã sign cho us-east-1 không thể chuyển request sang us-west-2 vì chữ ký bị reject, chỉ có cách chạy lại discovery flow
• Rollout kéo dài 6 tháng (3 tháng build/deploy SigV4a endpoint + 3 tháng parallel run), gặp vấn đề: corporate firewall allowlist domain cũ, SDK version cũ không hỗ trợ SigV4a, team tự implement signing logic không dùng shared library cần được outreach riêng
• Số liệu đo đạc thực tế sau migration: round trip biến mất hoàn toàn, CPU cost của ECDSA signing không đáng kể (sub-millisecond) so với network round trip, và retry logic đơn giản hóa — chỉ cần retry, không cần invalidate cache region hay chạy lại discovery

Nguồn: InfoQ | Phân tích bởi AI