使用连接链接配置和部署网关策略

流程

1. 如果您的网关命名空间不存在，请按如下所示创建：

   kubectl create ns ${gatewayNS}

   Copy to Clipboard

2. 如果在安装连接链接时尚未创建 DNS 供应商凭证的 secret，请在 Gateway 命名空间中创建此 secret，如下所示：

   kubectl -n ${gatewayNS} create secret generic aws-credentials \
     --type=kuadrant.io/aws \
     --from-literal=AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID \
     --from-literal=AWS_SECRET_ACCESS_KEY=$AWS_SECRET_ACCESS_KEY

   Copy to Clipboard

3. 在添加 TLS 签发者前，还必须在 cert-manager 命名空间中创建凭证 secret，如下所示：

   kubectl -n cert-manager create secret generic aws-credentials \
     --type=kuadrant.io/aws \
     --from-literal=AWS_ACCESS_KEY_ID=$AWS_ACCESS_KEY_ID \
     --from-literal=AWS_SECRET_ACCESS_KEY=$AWS_SECRET_ACCESS_KEY

   Copy to Clipboard

流程

1. 输入以下命令来定义 TLS 签发者。这个示例使用 Let 的 Encrypt，它还必须适用于所有集群：

   kubectl apply -f - <<EOF
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: ${clusterIssuerName}
   spec:
     acme:
       email: ${EMAIL}
       privateKeySecretRef:
         name: le-secret
       server: https://acme-v02.api.letsencrypt.org/directory
       solvers:
         - dns01:
             route53:
               hostedZoneID: ${zid}
               region: ${AWS_REGION}
               accessKeyIDSecretRef:
                 key: AWS_ACCESS_KEY_ID
                 name: aws-credentials
               secretAccessKeySecretRef:
                 key: AWS_SECRET_ACCESS_KEY
                 name: aws-credentials
   EOF

   Copy to Clipboard

2. 等待 ClusterIssuer 就绪，如下所示：

   kubectl wait clusterissuer/${clusterIssuerName} --for=condition=ready=true

   Copy to Clipboard

流程

1. 输入以下命令来创建网关：

   kubectl apply -f - <<EOF
   apiVersion: gateway.networking.k8s.io/v1
   kind: Gateway
   metadata:
     name: ${gatewayName}
     namespace: ${gatewayNS}
     labels:
       kuadrant.io/gateway: "true"
   spec:
       gatewayClassName: istio
       listeners:
       - allowedRoutes:
           namespaces:
             from: Same
         hostname: "*.${rootDomain}"
         name: api
         port: 443
         protocol: HTTPS
         tls:
           certificateRefs:
           - group: ""
             kind: Secret
             name: api-${gatewayName}-tls
           mode: Terminate
   EOF

   Copy to Clipboard

2. 检查网关的状态，如下所示：

   kubectl get gateway ${gatewayName} -n ${gatewayNS} -o=jsonpath='{.status.conditions[?(@.type=="Accepted")].message}'
   kubectl get gateway ${gatewayName} -n ${gatewayNS} -o=jsonpath='{.status.conditions[?(@.type=="Programmed")].message}'

   Copy to Clipboard

   您的网关应被接受并编程，这意味着有效并分配一个外部地址。

3. 但是，如果您检查 HTTPS 侦听器状态，您会看到它尚未编程，或者准备好因为错误的 TLS 配置接受流量：

   kubectl get gateway ${gatewayName} -n ${gatewayNS} -o=jsonpath='{.status.listeners[0].conditions[?(@.type=="Programmed")].message}'

   Copy to Clipboard

   连接链接可使用 TLSPolicy 来帮助解决这个问题，该策略在下一步中描述。

流程

1. 要在多个集群中分发此网关，请对每个集群重复此设置过程。

   默认情况下，这将实施循环 DNS 策略，在不同集群中平均分配流量。将您的网关设置为根据其地理位置为客户端提供服务非常简单。

2. 假设根据本指南在多个集群中部署了网关实例，下一步涉及使用可见网关的地理区域更新 DNS 控制器。

   例如，如果您在北美有一个集群，在欧盟中有一个集群，您可以根据它们的位置将流量定向到这些网关。对于北美集群，您可以创建一个 DNSPolicy，并将 loadBalancing:geo 字段设置为 US。

流程

1. 如果不存在，为应用程序创建命名空间（如果不存在）：

   kubectl create ns ${devNS}

   Copy to Clipboard

2. 将 toystore 应用程序部署到开发人员命名空间中（如果还没有部署）：

   kubectl apply -f https://raw.githubusercontent.com/Kuadrant/Kuadrant-operator/main/examples/toystore/toystore.yaml -n ${devNS}

   Copy to Clipboard

流程

1. 输入以下命令为您的 Toystore 应用程序 API 定义 HTTP 路由：

   kubectl apply -f - <<EOF
   apiVersion: gateway.networking.k8s.io/v1
   kind: HTTPRoute
   metadata:
     name: toystore
     labels:
       deployment: toystore
       service: toystore
   spec:
     parentRefs:
     - name: ${gatewayName}
       namespace: ${gatewayNS}
     hostnames:
     - "api.${rootDomain}"
     rules:
     - matches:
       - method: GET
         path:
           type: PathPrefix
           value: "/cars"
       - method: GET
         path:
           type: PathPrefix
           value: "/dolls"
       backendRefs:
       - name: toystore
         port: 80
     - matches:
       - path:
           type: PathPrefix
           value: "/admin"
       backendRefs:
       - name: toystore
         port: 80
   EOF

   Copy to Clipboard

   使用这个 HTTPRoute 时，部署的服务现在由网关公开。

2. 您可以通过 HTTPS 访问 API 端点，如下所示：

   export INGRESS_HOST=$(kubectl get gtw ${gatewayName} -o jsonpath='{.status.addresses[0].value}' -n api-gateway)
   
   curl --resolve api.${rootDomain}:443:${INGRESS_HOST} "https://api.${rootDomain}/cars"

   Copy to Clipboard

流程

1. 为 bob 和 alice 用户定义 API 密钥，如下所示：

   kubectl apply -f - <<EOF
   apiVersion: v1
   kind: Secret
   metadata:
     name: bob-key
     labels:
       authorino.kuadrant.io/managed-by: authorino
       app: toystore
     annotations:
       secret.kuadrant.io/user-id: bob
   stringData:
     api_key: IAMBOB
   type: Opaque
   ---
   apiVersion: v1
   kind: Secret
   metadata:
     name: alice-key
     labels:
       authorino.kuadrant.io/managed-by: authorino
       app: toystore
     annotations:
       secret.kuadrant.io/user-id: alice
   stringData:
     api_key: IAMALICE
   type: Opaque
   EOF

   Copy to Clipboard

2. 覆盖 AuthPolicy 以开始接受 API 密钥，如下所示：

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: AuthPolicy
   metadata:
     name: toystore
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: HTTPRoute
       name: toystore
     rules:
       authentication:
         "api-key-users":
           apiKey:
             selector:
               matchLabels:
                 app: toystore
           credentials:
             authorizationHeader:
               prefix: APIKEY
       response:
         success:
           filters:
             "identity":
               json:
                 properties:
                   "userid":
                     selector: auth.identity.metadata.annotations.secret\.kuadrant\.io/user-id
   EOF

   Copy to Clipboard

流程

1. 输入以下命令为特定用户设置速率限制：

   kubectl apply -f - <<EOF
   apiVersion: kuadrant.io/v1
   kind: RateLimitPolicy
   metadata:
     name: toystore
   spec:
     targetRef:
       group: gateway.networking.k8s.io
       kind: HTTPRoute
       name: toystore
     limits:
       "general-user":
         rates:
         - limit: 1
           duration: 3
           unit: second
         counters:
         - metadata.filter_metadata.envoy\.filters\.http\.ext_authz.identity.userid
         when:
         - selector: metadata.filter_metadata.envoy\.filters\.http\.ext_authz.identity.userid
           operator: neq
           value: bob
       "bob-limit":
         rates:
         - limit: 2
           duration: 3
           unit: second
         when:
         - selector: metadata.filter_metadata.envoy\.filters\.http\.ext_authz.identity.userid
           operator: eq
           value: bob
   EOF

   Copy to Clipboard
   注意

   应用 RateLimitPolicy 可能需要几分钟时间，具体取决于您的集群。

   另外，您可以向 bob 提供与所有其他用户相比要使用的多个请求两次。

2. 要测试您的新设置，请按如下所示 发送请求 ：

   while :; do curl --resolve api.${rootDomain}:443:${INGRESS_HOST} --write-out '%{http_code}\n' --silent --output /dev/null -H 'Authorization: APIKEY IAMALICE' "https://api.${rootDomain}/cars" | grep -E --color "\b(429)\b|$"; sleep 1; done

   Copy to Clipboard

3. 以 bob 身份发送请求，如下所示：

   while :; do curl --resolve api.${rootDomain}:443:${INGRESS_HOST} --write-out '%{http_code}\n' --silent --output /dev/null -H 'Authorization: APIKEY IAMBOB' "https://api.${rootDomain}/cars" | grep -E --color "\b(429)\b|$"; sleep 1; done

   Copy to Clipboard
   注意

   如果您设置 DNS 供应商并配置了 DNSPolicy，如平台工程师工作流中所述，您可以省略-- resolve api.${rootDomain}:443:${INGRESS_HOST} 标志。例如，对于 alice，如下所示：

   while :; do curl --write-out '%{http_code}\n' --silent --output /dev/null -H 'Authorization: APIKEY IAMALICE' "https://api.${rootDomain}/cars" | grep -E --color "\b(429)\b|$"; sleep 1; done

   Copy to Clipboard
   注意

   如果您遵循多个集群的本指南，HTTPRoute 主机名的 DNS 记录将有多个 IP 地址。这意味着，在集群间以轮循模式发出请求，因为您的 DNS 供应商向查找发送不同的响应。