Alibaba Cloud Service Mesh:サービスのローカルレート制限の設定

ステップ 1：ローカルレート制限ルールの作成

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

2. [メッシュ管理] ページで、対象の ASM インスタンス名をクリックします。左側のナビゲーションウィンドウで、[トラフィック管理センター] > [レート制限] を選択します。

3. [作成] をクリックし、次のパラメーターを設定します：

   セクション	パラメーター	値
   スロットリングの基本情報	名前空間	default を選択します。
   	名前	httpbin と入力します。
   	有効なワークロードのタイプ	適用可能なアプリケーションを選択します。
   	関連ワークロード	[キー] を app に、[値] を httpbin に設定します。
   スロットリングルールリスト	サービスポート	8000 (HTTPBin Kubernetes Service で宣言された HTTP ポート) を入力します。
   	スロットリング設定	[スロットリング検出の時間枠] を 60 秒に、[時間枠内で許可されるリクエスト数] を 10 に設定します。

4. [OK] をクリックします。

   

apiVersion: istio.alibabacloud.com/v1beta1
kind: ASMLocalRateLimiter
metadata:
  name: httpbin
  namespace: default
spec:
  workloadSelector:
    labels:
      app: httpbin            # このラベルを持つ Pod を対象とします
  isGateway: false            # ゲートウェイではなくサイドカープロキシに適用します
  configs:
    - match:
        vhost:
          name: '*'           # すべてのバーチャルホストに一致させます
          port: 8000          # ポート 8000 を対象とします
          route:
            header_match:
              - name: ':path'
                prefix_match: /       # すべてのパスに一致させます
                invert_match: false
      limit:
        fill_interval:
          seconds: 60         # トークン補充間隔
        quota: 10             # 間隔ごとに利用可能なトークン数 (最大リクエスト数)

ステップ 2：レート制限の検証

1. sleep Pod でシェルを開きます：

      kubectl exec -it deploy/sleep -- sh

2. 10 件のリクエストを送信して、トークンバケットを使い切ります：

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

3. もう 1 件リクエストを送信します：

      curl -v http://httpbin:8000/headers

   期待される出力：

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

   429 Too Many Requests 応答と x-local-rate-limit: true ヘッダーは、ローカルレート制限がアクティブであることを示します。

ステップ 1：ローカルレート制限ルールの作成

1. ASM コンソールにログインします。左側のナビゲーションウィンドウで、[Service Mesh] > [メッシュ管理] を選択します。

2. [メッシュ管理] ページで、対象の ASM インスタンス名をクリックします。左側のナビゲーションウィンドウで、[トラフィック管理センター] > [レート制限] を選択します。

3. [作成] をクリックし、次のパラメーターを設定します：

   セクション	パラメーター	値
   スロットリングの基本情報	名前空間	default を選択します。
   	名前	httpbin と入力します。
   	有効なワークロードのタイプ	適用可能なアプリケーションを選択します。
   	関連ワークロード	[キー] を app に、[値] を httpbin に設定します。
   スロットリングルールリスト	サービスポート	8000 と入力します。
   	リクエスト属性を照合	[照合属性] を [リクエストパス] に、[照合方法] を [プレフィックス一致] に、[照合コンテンツ] を /headers に設定します。
   	スロットリング設定	[スロットリング検出の時間枠] を 60 秒に、[時間枠内で許可されるリクエスト数] を 10 に設定します。

4. [OK] をクリックします。

   

ステップ 2：レート制限の検証

1. sleep Pod でシェルを開きます：

      kubectl exec -it deploy/sleep -- sh

2. /headers パスに 10 件のリクエストを送信して、トークンバケットを使い切ります：

      for i in $(seq 1 10); do curl -v http://httpbin:8000/headers; done

3. /headers にもう 1 件リクエストを送信します：

      curl -v http://httpbin:8000/headers

   期待される出力：

      *   Trying 172.16.245.130:8000...
      * Connected to httpbin (172.16.245.130) port 8000
      > GET /headers HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.5.0
      > Accept: */*
      >
      < HTTP/1.1 429 Too Many Requests
      < x-local-rate-limit: true
      < content-length: 18
      < content-type: text/plain
      < date: Tue, 26 Dec 2023 08:02:58 GMT
      < server: envoy
      < x-envoy-upstream-service-time: 2

   429 応答は、/headers へのリクエストがレート制限されていることを示します。

4. 影響を受けないことを確認するために、別のパスにリクエストを送信します：

      curl -v http://httpbin:8000/get

   期待される出力：

      *   Trying 192.168.243.21:8000...
      * Connected to httpbin (192.168.243.21) port 8000 (#0)
      > GET /get HTTP/1.1
      > Host: httpbin:8000
      > User-Agent: curl/8.1.2
      > Accept: */*
      >
      < HTTP/1.1 200 OK
      < server: envoy
      < date: Thu, 11 Jan 2024 03:46:11 GMT
      < content-type: application/json
      < content-length: 431
      < access-control-allow-origin: *
      < access-control-allow-credentials: true
      < x-envoy-upstream-service-time: 1
      <
      {
        "args": {},
        "headers": {
          "Accept": "*/*",
          "Host": "httpbin:8000",
          "User-Agent": "curl/8.1.2",
          "X-Envoy-Attempt-Count": "1",
          "X-Forwarded-Client-Cert": "By=spiffe://cluster.local/ns/default/sa/httpbin;Hash=be10819991ba1a354a89e68b3bed1553c12a4fba8b65fbe0f16299d552680b29;Subject=\"\";URI=spiffe://cluster.local/ns/default/sa/sleep"
        },
        "origin": "127.0.0.6",
        "url": "http://httpbin:8000/get"
      }

   200 OK 応答は、他のパスへのリクエストがレート制限ルールの対象外であることを示します。

ローカルレート制限ルールが有効にならないのはなぜですか？

サービスが HTTP を使用していない：ローカルレート制限は、HTTP および HTTP ベースのプロトコル (gRPC、dubbo3) でのみ機能します。ご利用のサービスがサポートされているプロトコルを使用しており、そのプロトコルが Kubernetes Service の定義で正しく宣言されていることを確認してください。ガイダンスについては、「標準的な方法でサービスのプロトコルを指定するにはどうすればよいですか？」をご参照ください。

Sidecar CRD がインバウンドトラフィック設定をオーバーライドしている：ASM は、サービス宣言に基づいてサイドカープロキシのインバウンドトラフィックリスナーを自動的に設定します。ローカルレート制限ルールは、このデフォルト設定に依存します。

Sidecar CRD を使用してデフォルトのインバウンドトラフィック設定を変更した場合 (たとえば、「localhost アプリケーションを他の Pod に公開する」ため)、インバウンドポートがサービスポートと異なる場合があります。この場合、レート制限ルールを元のサービスポートではなく、Sidecar CRD で定義されたポートを使用するように設定してください。

たとえば、次の Sidecar CRD がインバウンドトラフィックをポート 80 にマッピングしている場合：

apiVersion: networking.istio.io/v1beta1
kind: Sidecar
metadata:
  name: localhost-access
  namespace: default
spec:
  ingress:
    - defaultEndpoint: '127.0.0.1:80'
      port:
        name: http
        number: 80
        protocol: HTTP
  workloadSelector:
    labels:
      app: httpbin

レート制限ルールのサービスポートを 8000 ではなく 80 に設定します。