API Gateway

API Gateway 是什麼？

1. 架構彈性 - 當伺服器架構需要調整的時候，Client 不需要調整（前提是 API 維持不變）。
2. 安全性 - Internet 的使用者都無法直接存取 API Gateway 後面的 service，只能透過 API Gateway 間接存取。所以 service 可開放存取的 API 是有限的，降低惡意使用者攻擊的範圍。

API Gateway 的功能

Load balancing

將負載適當的分攤到不同的 service 上，讓伺服器可以服務更多的使用者。

以 Traefik 為範例，以下設定是將 Request 送到不同的 serivce 上：

https://doc.traefik.io/traefik/routing/services/

## Dynamic configuration

http:

  services:

    my-service:

      loadBalancer:

        servers:

        - url: "http://<private-ip-server-1>:<private-port-server-1>/"

        - url: "http://<private-ip-server-2>:<private-port-server-2>/"

Authentication and Authorization

API Gateway 通常會有 Basic Authentication 的功能，Client 提供帳號、密碼才可以存取；甚至更進階的有提供 JWT Authentication，提供 JWT 才可以存取。

以下是 Traefik 設定 Basic Authentication，設定了兩位使用者（帳號、密碼分別是 test/test, test2/test2）：

# Declaring the user list

apiVersion: traefik.containo.us/v1alpha1

kind: Middleware

metadata:

  name: test-auth

spec:

  basicAuth:

    secret: authsecret

---

# Note: in a kubernetes secret the string (e.g. generated by htpasswd) must be base64-encoded first.

# To create an encoded user:password pair, the following command can be used:

# htpasswd -nb user password | openssl base64

apiVersion: v1

kind: Secret

metadata:

  name: authsecret

  namespace: default

data:

  users: |2

    dGVzdDokYXByMSRINnVza2trVyRJZ1hMUDZld1RyU3VCa1RycUU4d2ovCnRlc3QyOiRhcHIxJGQ5

    aHI5SEJCJDRIeHdnVWlyM0hQNEVzZ2dQL1FObzAK

request routing

API Gateway 收到 HTTP Request 後，可以根據 HTTP resource path 決定將 HTTP Request 送到內部網路的服務上，比如 https://www.company.com.tw/api/auth 將 HTTP Request 送到內部網路的 auth service；https://www.company.com.tw/api/order 將 HTTP Request 送到內部網路的 order service。

protocol translation

當 API Gateway 轉發 HTTP Request 的時候，可能內部服務並不是使用 HTTP 通訊協定，比如可能使用 gRPC、TCP、UDP 等等，API Gateway 可以將 HTTP Request 轉換成 gRPC、TCP、UDP 後，送給內部的服務。

Rate-Limiting

Rate-Limiting 可以限制 API 請求的頻率，比如全部的使用者每分鐘只能呼叫 API 10000 次；限制免費使用者每月只能呼叫 1000 次 API。

IP Listing

可以設定 IP 黑名單、白名單。以下是 Traefik 的設定：

apiVersion: traefik.containo.us/v1alpha1

kind: Middleware

metadata:

  name: test-ipwhitelist

spec:

  ipWhiteList:

    sourceRange:

      - 127.0.0.1/32

      - 192.168.1.7

monitoring

提供監控的功能，比如提供 Prometheus, Datadog, InfluxDB, StatsD 的 Metrics。