Connectivity Link を使用した Gateway ポリシーの設定およびデプロイ

手順

1. 次のとおり、ゲートウェイの TLSPolicy を設定します。

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: TLSPolicy
   metadata:
     name: ${KUADRANT_GATEWAY_NAME}-tls
     namespace: ${KUADRANT_GATEWAY_NS}
   spec:
     targetRef:
       name: ${KUADRANT_GATEWAY_NAME}
       group: gateway.networking.k8s.io
       kind: Gateway
     issuerRef:
       group: cert-manager.io
       kind: ClusterIssuer
       name: ${KUADRANT_CLUSTER_ISSUER_NAME}
   EOF

   Copy to Clipboard Toggle word wrap

2. 次のように、TLS ポリシーのステータスが Accepted and Enforced であることを確認します。

   kubectl get tlspolicy ${KUADRANT_GATEWAY_NAME}-tls -n ${KUADRANT_GATEWAY_NS} -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}{"\n"}{.status.conditions[?(@.type=="Enforced")].message}'

   Copy to Clipboard Toggle word wrap

   TLS プロバイダー (例: Let’s Encrypt) によっては、数分かかる場合があります。

手順

1. 次のようにして、サンプル Toystore アプリケーションの HTTPRoute を作成します。

   kubectl apply -f - <<EOF
   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: toystore
     namespace: ${KUADRANT_DEVELOPER_NS}
     labels:
       deployment: toystore
       service: toystore
   spec:
     parentRefs:
     - name: ${KUADRANT_GATEWAY_NAME}
       namespace: ${KUADRANT_GATEWAY_NS}
     hostnames:
     - "api.${KUADRANT_ZONE_ROOT_DOMAIN}"
     rules:
     - matches:
       - method: GET
         path:
           type: PathPrefix
           value: "/cars"
       - method: GET
         path:
           type: PathPrefix
           value: "/health"
       backendRefs:
       - name: toystore
         port: 80
   EOF

   Copy to Clipboard Toggle word wrap

   ゲートウェイはデプロイされていますが、エンドポイントは現在公開されています。次の手順では、保護されていないエンドポイントに対してデフォルトの HTTP 403 応答を設定する AuthPolicy を定義し、公開されているエンドポイントをさらに保護するために、デフォルトで極めて低いグローバル制限を設定する RateLimitPolicy を定義します。

手順

1. 次のように、ゲートウェイに対して deny-all 設定のデフォルトの AuthPolicy を設定します。

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: AuthPolicy
   metadata:
     name: ${KUADRANT_GATEWAY_NAME}-auth
     namespace: ${KUADRANT_GATEWAY_NS}
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: Gateway
       name: ${KUADRANT_GATEWAY_NAME}
     defaults:
      when:
        - predicate: "request.path != '/health'"
      rules:
       authorization:
         deny-all:
           opa:
             rego: "allow = false"
       response:
         unauthorized:
           headers:
             "content-type":
               value: application/json
           body:
             value: |
               {
                 "error": "Forbidden",
                 "message": "Access denied by default by the gateway operator. If you are the administrator of the service, create a specific auth policy for the route."
               }
   EOF

   Copy to Clipboard Toggle word wrap

2. 次のように、AuthPolicy のステータスが Accepted かつ Enforced になっていることを確認します。

   kubectl get authpolicy ${KUADRANT_GATEWAY_NAME}-auth -n ${KUADRANT_GATEWAY_NS} -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}{"\n"}{.status.conditions[?(@.type=="Enforced")].message}'

   Copy to Clipboard Toggle word wrap

手順

1. 次のように、ゲートウェイの low-limit 設定でデフォルトの RateLimitPolicy を設定します。

   kubectl apply -f  - <<EOF
   apiVersion: kuadrant.io/v1
   kind: RateLimitPolicy
   metadata:
     name: ${KUADRANT_GATEWAY_NAME}-rlp
     namespace: ${KUADRANT_GATEWAY_NS}
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: Gateway
       name: ${KUADRANT_GATEWAY_NAME}
     defaults:
       limits:
         "low-limit":
           rates:
           - limit: 1
             window: 10s
   EOF

   Copy to Clipboard Toggle word wrap
   注記

   クラスターによっては、RateLimitPolicy が適用されるまでに数分間がかかる場合があります。この例では、制限が機能していることを示すために意図的に低く設定されています。

2. 次のように、RateLimitPolicy のステータスが Accepted および Enforced になっていることを確認します。

   kubectl get ratelimitpolicy ${KUADRANT_GATEWAY_NAME}-rlp -n ${KUADRANT_GATEWAY_NS} -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}{"\n"}{.status.conditions[?(@.type=="Enforced")].message}'

   Copy to Clipboard Toggle word wrap

手順

1. 次のとおり、ゲートウェイの DNSPolicy を設定します。

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: DNSPolicy
   metadata:
     name: ${KUADRANT_GATEWAY_NAME}-dnspolicy
     namespace: ${KUADRANT_GATEWAY_NS}
   spec:
     healthCheck:
       failureThreshold: 3
       interval: 1m
       path: /health
     loadBalancing:
       defaultGeo: true
       geo: GEO-NA
       weight: 120
     targetRef:
       name: ${KUADRANT_GATEWAY_NAME}
       group: gateway.networking.k8s.io
       kind: Gateway
     providerRefs:
     - name: aws-credentials # Secret created earlier
   EOF

   Copy to Clipboard Toggle word wrap
   注記

   DNSPolicy は、これまでの手順で定義した DNS プロバイダー Secret を使用します。この例の geo は GEO-NA ですが、要件に合わせて変更できます。

2. 次のように、DNSPolicy のステータスが Accepted および Enforced になっていることを確認します。

   kubectl get dnspolicy ${KUADRANT_GATEWAY_NAME}-dnspolicy -n ${KUADRANT_GATEWAY_NS} -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}{"\n"}{.status.conditions[?(@.type=="Enforced")].message}'

   Copy to Clipboard Toggle word wrap

   これには数分かかる場合があります。

3. 次のように、DNSPolicy で有効になっている DNS ヘルスチェックのステータスを確認します。

   kubectl get dnspolicy ${KUADRANT_GATEWAY_NAME}-dnspolicy -n ${KUADRANT_GATEWAY_NS} -

   Copy to Clipboard Toggle word wrap

   これらのヘルスチェックは、定義された設定に基づいて、公開されたエンドポイントを正常または異常としてフラグ付けします。正常でない場合、エンドポイントは DNS プロバイダーにまだ公開されていない場合は公開されません。エンドポイントは、複数値の A レコードの一部である場合にのみ非公開となり、いずれの場合も DNSPolicy ステータスで確認できます。

手順

1. Connectivity Link システムの namespace が次のように正しく設定されていることを確認します。

   export KUADRANT_SYSTEM_NS=$(kubectl get kuadrant -A -o jsonpath="{.items[0].metadata.namespace}")

   Copy to Clipboard Toggle word wrap

2. 次のとおり、ユーザーである bob および alice の API キーを定義します。

   kubectl apply -f - <<EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: bob-key
     namespace: ${KUADRANT_SYSTEM_NS}
     labels:
       authorino.kuadrant.io/managed-by: authorino
       app: toystore
     annotations:
       secret.kuadrant.io/user-id: bob
   stringData:
     api_key: IAMBOB
   type: Opaque
   ---
   apiVersion: v1
   kind: Secret
   metadata:
     name: alice-key
     namespace: ${KUADRANT_SYSTEM_NS}
     labels:
       authorino.kuadrant.io/managed-by: authorino
       app: toystore
     annotations:
       secret.kuadrant.io/user-id: alice
   stringData:
     api_key: IAMALICE
   type: Opaque
   EOF

   Copy to Clipboard Toggle word wrap

3. 先ほど作成した deny-all ポリシーをオーバーライドし、次のように API キーを受け入れる新しい AuthPolicy を別の namespace に作成します。

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: AuthPolicy
   metadata:
     name: toystore-auth
     namespace: ${KUADRANT_DEVELOPER_NS}
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: HTTPRoute
       name: toystore
     defaults:
      when:
        - predicate: "request.path != '/health'"
      rules:
       authentication:
         "api-key-users":
           apiKey:
             selector:
               matchLabels:
                 app: toystore
           credentials:
             authorizationHeader:
               prefix: APIKEY
       response:
         success:
           filters:
             "identity":
               json:
                 properties:
                   "userid":
                     selector: auth.identity.metadata.annotations.secret\.kuadrant\.io/user-id
   EOF

   Copy to Clipboard Toggle word wrap

手順

1. 別の名前空間に新しい RateLimitPolicy を作成し、以前に作成したデフォルトの low-limit ポリシーを上書きして、次のように特定のユーザーの流量制御を設定します。

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: RateLimitPolicy
   metadata:
     name: toystore-rlp
     namespace: ${KUADRANT_DEVELOPER_NS}
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: HTTPRoute
       name: toystore
     limits:
       "general-user":
         rates:
   
         - limit: 5
           window: 10s
         counters:
         - expression: auth.identity.userid
         when:
         - predicate: "auth.identity.userid != 'bob'"
       "bob-limit":
         rates:
         - limit: 2
           window: 10s
         when:
         - predicate: "auth.identity.userid == 'bob'"
   EOF

   Copy to Clipboard Toggle word wrap
   注記

   クラスターによっては、RateLimitPolicy が適用されるまでに数分間がかかる場合があります。

2. 次のように、RateLimitPolicy のステータスが Accepted および Enforced になっていることを確認します。

   kubectl get ratelimitpolicy -n ${KUADRANT_DEVELOPER_NS} toystore-rlp -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}{"\n"}{.status.conditions[?(@.type=="Enforced")].message}'

   Copy to Clipboard Toggle word wrap

3. HTTPRoute のステータスが同じ namespace 内の RateLimitPolicy の影響を受けるようになったことを確認します。

   kubectl get httproute toystore -n ${KUADRANT_DEVELOPER_NS} -o=jsonpath='{.status.parents[0].conditions[?(@.type=="kuadrant.io/RateLimitPolicyAffected")].message}'

   Copy to Clipboard Toggle word wrap

1. 次のようにユーザー alice としてリクエストを送信します。

   while :; do curl -k --write-out '%{http_code}\n' --silent --output /dev/null -H 'Authorization: APIKEY IAMALICE' "https://api.$KUADRANT_ZONE_ROOT_DOMAIN/cars" | grep -E --color "\b(429)\b|$"; sleep 1; done

   Copy to Clipboard Toggle word wrap

   毎秒 HTTP ステータス 200 が 5 秒間、表示され、その後の 5 秒間、毎秒 HTTP ステータス 429 が表示されます。

2. 次のようにユーザー bob としてリクエストを送信します。

   while :; do curl -k --write-out '%{http_code}\n' --silent --output /dev/null -H 'Authorization: APIKEY IAMBOB' "https://api.$KUADRANT_ZONE_ROOT_DOMAIN/cars" | grep -E --color "\b(429)\b|$"; sleep 1; done

   Copy to Clipboard Toggle word wrap

   毎秒 HTTP ステータス 200 が 2 秒間、表示され、その後 8 秒間、毎秒 HTTP ステータス 429 が表示されます。