第3章 Connectivity Link のテクノロジーとパターン

ゲートウェイは、アプリケーションの接続およびセキュリティーにおいて重要な役割を担います。Kubernetes ベースの環境では、Gateway API が Ingress ゲートウェイをデプロイし、アプリケーションネットワークを管理するための新しい標準です。

Gateway API は、Ingress トラフィック管理用の標準化された API を提供し、複数のプロトコルをサポートします。Gateway API はユーザーペルソナの役割を想定して設計されており、設定の柔軟性と移植性を提供します。Gateway API を使用して各 OpenShift クラスターに Ingress ポリシーを設定することで、同一性、一貫性、実装の容易性を確保できます。

図3.1 Gateway API ユーザーペルソナベースの設計

View larger image

通常、インフラストラクチャー所有者は、Amazon Web Services や Google Cloud Platform などのクラウドプロバイダーに基づいて複数のクラスターをホストするインフラストラクチャーを担当します。

プラットフォームエンジニアは、Gateway、ポリシー、ネットワークアクセス、アプリケーションの権限の管理など、ユーザー要件を満たすクラスターを管理します。アプリケーション開発者は、アプリケーション認証、流量制御、タイムアウト、バックエンドサービスへのルーティングなど、クラスターで実行されるアプリケーションを作成および管理します。

プラットフォームエンジニアやアプリケーション開発者は、Kubernetes カスタムリソース定義 (CRD) として定義された Connectivity Link ポリシーを使用して、簡単にアプリケーションとインフラストラクチャーの安全性を保護し、接続できます。Connectivity Link では、TLS、認証と認可、流量制御、および DNS を管理するためのポリシーを使用できます。

ポリシーアタッチメント パターンは、オブジェクト spec フィールドで記述できない設定を使用して、Kubernetes オブジェクトに動作を追加する方法を提供します。ポリシーアタッチメントでは、デフォルトとオーバーライドの概念も提供されます。これにより、オブジェクト階層の各レベルのポリシー API で各種ロールを使用できます。これらのポリシーは、特定のルールおよびストラテジーにマージされ、効果的なポリシーを形成します。

以下に示すシンプルな流量制御ポリシーは、独自の流量制御ポリシーが定義されていないターゲット Gateway で定義された各リスナーに対し、10 秒ごとのリクエスト数を 5 個に指定する制限を設定します。

apiVersion: kuadrant.io/v1
kind: RateLimitPolicy
metadata:
  name: gw-rlp
spec:
  targetRef: # Specifies Gateway API policy attachment
    group: gateway.networking.k8s.io
    kind: Gateway
    name: external
  defaults: # Means it can be overridden
    limits: # Limitador component configuration
      "global":
        rates:
        - limit: 5
          window: 10s

apiVersion: kuadrant.io/v1
kind: RateLimitPolicy
metadata:
  name: gw-rlp
spec:
  targetRef: # Specifies Gateway API policy attachment
    group: gateway.networking.k8s.io
    kind: Gateway
    name: external
  defaults: # Means it can be overridden
    limits: # Limitador component configuration
      "global":
        rates:
        - limit: 5
          window: 10s

Connectivity Link は、他の接続管理システムのようなスタンドアロン Gateway ではありません。Connectivity Link は、Envoy プロキシー用に開発された WebAssembly (WASM) プラグインです。つまり、Ingress に OpenShift Service Mesh、Istio、または Envoy を使用しているユーザーは、Connectivity Link を使用するために既存の Ingress オブジェクトとポリシーに大きな変更を加える必要はありません。

また、WebAssembly プラグインの設計特性として、Connectivity Link も軽量、高速、ハードウェアへの非依存、非侵入的、セキュアです。

Connectivity Link では、マルチクラウド環境とハイブリッドクラウド環境全体でマルチクラスター設定ミラーリングを使用して、ルーティング、設定、およびポリシーを必要な場所にデプロイできます。クラウドサービスプロバイダーに応じて異なるポリシーを異なる方法で設定する必要がなくなりました。代わりに、Connectivity Link を使用して一貫した方法でポリシーを設定し、デプロイできます。

また、開発環境、テスト環境、実稼働環境が同じように設定されていることを確認して、後で予期せぬ事態が発生するのを防ぐこともできます。つまり Connectivity Link を使用することで、一貫性、シンプルさ、統一されたエクスペリエンス、グローバル管理、セキュリティーコンプライアンスを確保できます。

図3.2 マルチクラウド環境およびハイブリッドクラウド環境でのマルチクラスター設定ミラーリング

View larger image

Connectivity Link は、他の製品が提供する従来の API 管理機能を超えた次世代の API 管理アプローチを提供します。

API 管理には接続が必要です。Connectivity Link は、API の監視、認証、流量制御などの API 管理機能に加えて、スケーラブルなマルチクラスターおよびマルチ Gateway の接続管理を提供します。

図3.3 Connectivity Link の API 管理と接続性

View larger image