Взаимодействие микросервисов с использованием Kong

Применение API Gateway — Kong

• Централизация маршрутизации запросов API Gateway принимает все клиентские запросы и маршрутизирует их к соответствующим микросервисам. Это упрощает управление маршрутами и позволяет легко изменять конфигурацию маршрутизации без необходимости вносить изменения в каждый отдельный микросервис.
• Управление аутентификацией и авторизацией API Gateway может управлять аутентификацией и авторизацией, проверяя учётные данные клиентов и контролируя доступ к различным микросервисам на основе ролей и прав доступа.
• Балансировка нагрузки и распределение трафика API Gateway распределяет входящий трафик между несколькими экземплярами микросервисов, обеспечивая равномерную нагрузку и высокую доступность системы.
• Обеспечение безопасности API Gateway может применять политики безопасности — шифрование данных, защиту от DDoS-атак и ограничение скорости запросов (англ. rate limiting) — для защиты системы от угроз и атак.
• Кэширование запросов API Gateway может кэшировать ответы на часто запрашиваемые ресурсы, уменьшая нагрузку на микросервисы и повышая производительность системы.

1. Netflix Zuul: Netflix использует собственный API Gateway под названием Zuul для маршрутизации и фильтрации запросов и обеспечения безопасности и управления трафиком. Zuul позволяет Netflix масштабировать свою архитектуру и обеспечивать высокую доступность своих сервисов.
2. Amazon API Gateway: Amazon предлагает облачное решение API Gateway, которое позволяет разработчикам легко создавать, развёртывать и управлять API. Amazon API Gateway обеспечивает маршрутизацию, аутентификацию, авторизацию, кэширование и мониторинг API-запросов.
3. Kong: Kong — это популярный API Gateway с открытым исходным кодом, который поддерживает множество плагинов для управления трафиком, аутентификации, авторизации и мониторинга. Kong используется в различных компаниях для обеспечения надёжного и безопасного взаимодействия между микросервисами.
4. NGINX API Gateway: NGINX предлагает решение API Gateway, которое предоставляет высокую производительность и гибкость для управления трафиком и маршрутизацией запросов. NGINX API Gateway используется для обеспечения безопасности, балансировки нагрузки и мониторинга API.

Настройка и использование API Gateway — Kong

• Шаг 1. Установка API Gateway Kong
• Шаг 2. Базовая конфигурация и настройка окружения
• Шаг 3. Настройка маршрутизации запросов
• Шаг 4. Настройка балансировки нагрузки

Шаг 1. Установка API Gateway Kong

docker pull kong
docker network create kong-net
docker run -d --name kong-database \
  --network=kong-net \
  -p 5432:5432 \
  -e "POSTGRES_USER=kong" \
  -e "POSTGRES_DB=kong" \
  -e "POSTGRES_PASSWORD=kong" \
  postgres:9.6

docker run -d --name kong \
  --network=kong-net \
  -e "KONG_DATABASE=postgres" \
  -e "KONG_PG_HOST=kong-database" \
  -e "KONG_CASSANDRA_CONTACT_POINTS=kong-database" \
  -p 8000:8000 \
  -p 8443:8443 \
  -p 8001:8001 \
  -p 8444:8444 \
  kong 

docker exec -it kong kong migrations bootstrap 

Шаг 2. Базовая конфигурация и настройка окружения

1. Добавление сервиса и маршрута

curl -i -X POST \
  --url http://localhost:8001/services/ \
  --data 'name=weather-service' \
  --data 'url=http://weather-service:8000'

curl -i -X POST \
  --url http://localhost:8001/services/weather-service/routes \
  --data 'paths[]=/weather' 

2. Проверка конфигурации

curl -i http://localhost:8000/weather 

Шаг 3. Настройка маршрутизации запросов

1. Добавление маршрутов для микросервисов:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/services/ \
      --data 'name=sensor-service' \
      --data 'url=http://sensor-service:8000'
    
    curl -i -X POST \
      --url http://localhost:8001/services/sensor-service/routes \
      --data 'paths[]=/sensor'
    
    curl -i -X POST \
      --url http://localhost:8001/services/ \
      --data 'name=notification-service' \
      --data 'url=http://notification-service:8000'
    
    curl -i -X POST \
      --url http://localhost:8001/services/notification-service/routes \
      --data 'paths[]=/notification'
     
2. Настройка правил маршрутизации и редиректов
   Правила маршрутизации:
   • Маршрутизация запросов по пути (path).
   • Маршрутизация запросов по методам HTTP (GET, POST, PUT, DELETE).
   • Маршрутизация запросов по заголовкам.
     Редиректы:
   • Настройка редиректов для определённых путей.
   • Управление временными и постоянными редиректами.

Шаг 4. Настройка балансировки нагрузки

1. Добавление upstream сервера:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/upstreams/ \
      --data 'name=weather-upstream'
     
2. Добавление целевых серверов:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/upstreams/weather-upstream/targets \
      --data 'target=weather-service1:8000' \
      --data 'weight=100'
    
    curl -i -X POST \
      --url http://localhost:8001/upstreams/weather-upstream/targets \
      --data 'target=weather-service2:8000' \
      --data 'weight=100'
     
3. Использование алгоритмов балансировки

• Round-robin: распределение запросов по кругу между доступными серверами.
  Алгоритм Round-robin распределяет запросы по кругу между всеми доступными серверами. Этот метод прост и эффективен, так как каждый сервер получает равное количество запросов. Если один из серверов выходит из строя, алгоритм продолжает распределять запросы между оставшимися серверами.
  • Пример использования: Если у вас есть три сервера (Server A, Server B, Server C), первый запрос будет направлен на Server A, второй на Server B, третий на Server C, четвёртый снова на Server A и так далее.
  • Подробнее: https://docs.konghq.com/gateway/latest/how-kong-works/load-balancing/#round-robin

• IP hash: направление запросов к серверу на основе хеша IP-адреса клиента.
  Алгоритм IP hash направляет запросы к серверу на основе хеша IP-адреса клиента. Этот метод позволяет обеспечить, что запросы от одного и того же клиента всегда направляются к одному и тому же серверу, что может быть полезно для кэширования и сохранения сессий.
  • Пример использования: Если клиент с IP-адресом 192.168.1.1 делает запрос, хеш этого IP-адреса будет определять, к какому серверу будет направлен запрос. Например, хеш может указывать на Server B и все последующие запросы от этого IP будут направляться на Server B.
  • Подробнее: https://docs.konghq.com/gateway/latest/how-kong-works/load-balancing/#consistent-hashingtarget="_blank"}

Безопасность, мониторинг и отладка API Gateway

• как управлять аутентификацией и авторизацией;
• как настроить механизмы безопасности;
• какие инструменты использовать для мониторинга и отладки API Gateway.

Управление аутентификацией и авторизацией

1. Внедрение механизмов аутентификации:
   • OAuth2: протокол для авторизации, который позволяет приложениям получать ограниченный доступ к пользовательским ресурсам на сервере.
   • JWT (JSON Web Token): стандарт токенов для передачи информации между сторонами как JSON-объект в формате токена, который подписан цифровой подписью для обеспечения безопасности.
   • Basic Auth: простой метод аутентификации, который передаёт учётные данные в заголовках HTTP-запросов.

1. Добавление OAuth2 плагина к сервису:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/services/weather-service/plugins/ \
      --data 'name=oauth2' \
      --data 'config.scopes=email' \
      --data 'config.mandatory_scope=true' \
      --data 'config.enable_authorization_code=true'
     
2. Создание клиента OAuth2:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/consumers/{consumer}/oauth2/ \
      --data 'name=weather-app' \
      --data 'client_id=weather-client-id' \
      --data 'client_secret=weather-client-secret' \
      --data 'redirect_uris=http://localhost/callback'
     
3. Использование OAuth2 и JWT-токенов:

   • Настройка OAuth2-провайдера.
   • Генерация и валидация JWT-токенов.

1. Добавление JWT-плагина к сервису:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/services/weather-service/plugins/ \
      --data 'name=jwt'
     
2. Создание потребителя и привязка JWT-ключа:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/consumers/ \
      --data 'username=weather-consumer'
    
    curl -i -X POST \
      --url http://localhost:8001/consumers/weather-consumer/jwt/ \
      --data 'key=weather-key' \
      --data 'algorithm=HS256'
     

2. Настройка защиты от DDoS-атак

1. Лимитирование запросов (Rate Limiting):
   • Настройка максимального количества запросов за определённый период времени для предотвращения перегрузки сервиса.

1. Добавление плагина лимитирования запросов:
   Скопировать код

   BASH

    curl -i -X POST \
      --url http://localhost:8001/services/weather-service/plugins/ \
      --data 'name=rate-limiting' \
      --data 'config.minute=10' \
      --data 'config.hour=500'
     
2. Настройка правил блокировки подозрительного трафика:

   • Использование плагинов для блокировки IP-адресов, которые генерируют подозрительный трафик.
   • Настройка правил для блокировки определённых типов запросов.

Мониторинг метрик на API Gateway

Использование API Gateway в WeatherNow

1. Определение маршрутов для различных микросервисов

• Маршрутизация запросов к сервису данных о погоде:

curl -i -X POST \
  --url http://localhost:8001/services/ \
  --data 'name=weather-data-service' \
  --data 'url=http://weather-data-service:8000'

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/routes \
  --data 'paths[]=/weather-data' 

• Маршрутизация запросов к сервису уведомлений:

curl -i -X POST \
  --url http://localhost:8001/services/ \
  --data 'name=notification-service' \
  --data 'url=http://notification-service:8000'

curl -i -X POST \
  --url http://localhost:8001/services/notification-service/routes \
  --data 'paths[]=/notifications' 

• Маршрутизация запросов к сервису аналитики:

curl -i -X POST \
  --url http://localhost:8001/services/ \
  --data 'name=analytics-service' \
  --data 'url=http://analytics-service:8000'

curl -i -X POST \
  --url http://localhost:8001/services/analytics-service/routes \
  --data 'paths[]=/analytics' 

services:
  - name: weather-data-service
    url: http://weather-data-service:8000
    routes:
      - paths:
          - /weather-data

  - name: notification-service
    url: http://notification-service:8000
    routes:
      - paths:
          - /notifications

  - name: analytics-service
    url: http://analytics-service:8000
    routes:
      - paths:
          - /analytics 

2. Настройка аутентификации пользователей

• Использование JWT для аутентификации:

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/plugins/ \
  --data 'name=jwt'

curl -i -X POST \
  --url http://localhost:8001/consumers/ \
  --data 'username=weather-consumer'

curl -i -X POST \
  --url http://localhost:8001/consumers/weather-consumer/jwt/ \
  --data 'key=weather-key' \
  --data 'algorithm=HS256' 

• Управление правами доступа к различным сервисам

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/plugins/ \
  --data 'name=acl' \
  --data 'config.whitelist=weather-admin'

curl -i -X POST \
  --url http://localhost:8001/consumers/weather-consumer/acls \
  --data 'group=weather-admin' 

3. Обеспечение безопасности и защита данных

• Настройка шифрования данных в транзите с использованием HTTPS:

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/plugins/ \
  --data 'name=ssl' \
  --data 'config.cert=/path/to/cert.pem' \
  --data 'config.key=/path/to/key.pem' 

• Настройка лимитирования запросов (Rate Limiting):

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/plugins/ \
  --data 'name=rate-limiting' \
  --data 'config.minute=100' \
  --data 'config.hour=1000' 

• Настройка защиты от DDoS-атак:

curl -i -X POST \
  --url http://localhost:8001/services/weather-data-service/plugins/ \
  --data 'name=ip-restriction' \
  --data 'config.whitelist=192.168.1.0/24' 

Итоги

• API Gateway упрощает взаимодействие между клиентами и микросервисами, предоставляет централизованное управление и контроль над всей системой. Важно обеспечивать безопасность, мониторинг и отладку API Gateway.
• Один из популярных API Gateway с открытым исходным кодом — Kong. Он поддерживает множество плагинов для управления трафиком, аутентификации, авторизации и мониторинга. Kong используется в различных компаниях для обеспечения надёжного и безопасного взаимодействия между микросервисами.