Cloud-native Gateway est une passerelle API entièrement gérée fournie par Microservices Engine (MSE). Elle unifie les passerelles de trafic (Kubernetes Ingress, NGINX) et les passerelles de microservices (Spring Cloud Gateway, Zuul) en une seule passerelle, réduisant ainsi les coûts des ressources de 50 % et simplifiant les opérations.
Construite sur le proxy Envoy et compatible avec les normes Kubernetes Ingress, Cloud-native Gateway gère le routage du trafic, l'authentification, l'observabilité et la haute disponibilité pour les architectures de microservices, sans nécessiter la gestion de couches de passerelles séparées.
Fonctionnement
Cloud-native Gateway se situe entre les clients externes et vos services backend, servant de point d'entrée unique pour tout le trafic entrant. Elle élimine le besoin d'exécuter et de maintenir côte à côte des passerelles de trafic et des passerelles de microservices distinctes.
Le trafic traverse Cloud-native Gateway selon le processus suivant :
Une requête client arrive à la passerelle.
La passerelle évalue les règles de routage, applique les politiques d'authentification et impose des contrôles de trafic tels que la limitation de débit et le disjoncteur.
La passerelle achemine la requête vers le service backend approprié, découvert automatiquement via un registre de services connecté.
Les métriques de réponse, les journaux et les traces sont émis vers les systèmes d'observabilité intégrés.
Cloud-native Gateway découvre les services backend à partir de plusieurs sources :
Clusters Container Service for Kubernetes (ACK)
Instances Nacos
Instances ZooKeeper
Autres clusters Kubernetes
Cas d'utilisation
Consolider les couches de passerelle : remplacez les passerelles Kubernetes Ingress et les passerelles de microservices séparées par une seule passerelle gérée afin de réduire les coûts d'infrastructure et la charge opérationnelle.
Centraliser le contrôle d'accès aux API : gérez l'authentification, l'autorisation et la limitation de débit pour toutes les API exposées en externe depuis un emplacement unique, au lieu d'implémenter des contrôles dans chaque service.
Déployer les modifications en toute sécurité : utilisez les versions canary et le marquage du trafic pour acheminer un pourcentage du trafic vers de nouvelles versions, valider le comportement et transférer progressivement tout le trafic une fois la stabilité confirmée.
Protéger les services contre les pics de trafic : appliquez des politiques de limitation de débit, de disjoncteur et de dégradation au niveau de la passerelle pour maintenir la stabilité des services backend lors de charges inattendues.
Sécuriser les endpoints de service : terminez les connexions TLS, imposez des listes d'autorisation et de blocage d'adresses IP, activez la protection anti-DDoS et intégrez Web Application Firewall (WAF) pour bloquer le trafic malveillant avant qu'il n'atteigne vos applications.
Déployer sur plusieurs régions : planifiez le trafic entre les régions pour le déploiement et la gestion globale des services.
Fonctionnalités
Gouvernance du trafic
Routez et contrôlez le trafic à travers vos microservices grâce à :
La découverte de services à partir de plusieurs registres (ACK, Nacos, ZooKeeper)
Le routage de services avec une distribution flexible du trafic basée sur des règles
Le marquage du trafic pour étiqueter et diriger les requêtes en fonction des en-têtes, des paramètres ou d'autres attributs
La limitation de débit et le disjoncteur pour protéger les services contre la surcharge
La dégradation pour gérer gracieusement les pannes sans provoquer d'interruptions en cascade
La configuration des délais d'expiration pour un contrôle précis des délais de requête
La prise en charge du protocole Dubbo 3.0 avec arrêt gracieux
Sécurité
Authentifiez et protégez le trafic au niveau de la couche passerelle :
L'authentification JSON Web Token (JWT)
L'authentification OpenID Connect (OIDC) basée sur OAuth 2.0 pour les workflows d'authentification unique
L'authentification Alibaba Cloud IDaaS pour la gestion des identités d'entreprise
Les certificats HTTPS avec gestion intégrée des certificats
Les listes d'autorisation et de blocage d'adresses IP pour restreindre l'accès par adresse IP source
La protection anti-DDoS et le nettoyage du trafic
L'intégration WAF pour la protection contre les menaces au niveau applicatif
Observabilité
Surveillez la santé de la passerelle et des services grâce aux tableaux de bord intégrés et aux outils de diagnostic :
Des tableaux de bord globaux pour une visibilité en temps réel sur le trafic et les taux d'erreur
La surveillance de la passerelle avec des métriques de performance et de risque
La récupération et l'expédition des journaux vers des systèmes de journalisation externes
Les listes Top N des services pour identifier les services à fort trafic ou sujets aux erreurs
L'analyse de traçage pour le suivi des requêtes de bout en bout à travers les services
La gestion des alertes pour notifier les équipes d'astreinte en cas d'anomalies
Haute disponibilité
Cloud-native Gateway a fait ses preuves à l'échelle du groupe Alibaba, gérant des centaines de milliers de requêtes par seconde lors du Double 11 de 2020. Elle alimente des services de production tels qu'Alipay, DingTalk, Taobao, Tmall, Youku, Fliggy et Koubei.
Les fonctionnalités de fiabilité intégrées incluent :
La protection contre la surcharge pour rejeter l'excès de trafic avant qu'il ne dégrade la qualité du service
Le démarrage et l'arrêt gracieux pour éviter l'abandon des requêtes en cours pendant les déploiements
La reprise après sinistre multi-zones pour assurer la résilience face aux pannes au niveau des zones
L'Auto Scaling pour adapter la capacité de la passerelle au trafic en temps réel
L'auto-réparation pour récupérer automatiquement après des pannes de composants
L'accord de niveau de service (SLA) garanti atteint jusqu'à 99,95 %.
Limites
Accélération matérielle TLS
En raison des contraintes matérielles sous-jacentes, l'accélération matérielle Transport Layer Security (TLS) est disponible uniquement dans les régions suivantes :
Chine (Hangzhou)
Chine (Shanghai)
Chine (Pékin)
Chine (Shenzhen)
Hong Kong (Chine)
Singapour
Allemagne (Francfort)
Intégration WAF 3.0
Cloud-native Gateway prend en charge WAF 2.0 via une connexion traditionnelle basée sur CNAME. Pour une intégration native WAF, WAF 3.0 est requis et disponible uniquement dans les régions suivantes :
Chine (Hangzhou)
Chine (Shanghai)
Chine (Pékin)
Chine (Zhangjiakou)
Chine (Ulanqab)
Chine (Shenzhen)
Hong Kong (Chine)
Japon (Tokyo)
Singapour
Malaisie (Kuala Lumpur)
Allemagne (Francfort)
États-Unis (Silicon Valley)
Marketplace de plugins
Le Marketplace de plugins est disponible dans toutes les régions où MSE est activé. Pour plus de détails, consultez Régions prises en charge.
La taille maximale pour le téléchargement d'un plugin personnalisé est de 50 Mo.
Premiers pas
Pour configurer votre première Cloud-native Gateway et acheminer le trafic vers les services dans un cluster ACK, consultez Accéder aux applications dans un cluster ACK à l'aide d'une passerelle cloud-native.