게이트웨이 API 아키텍처 및 보안

TL; DR

API 게이트웨이는 유일한 정책 지점 (작성, 요율, 변환, 감사) 이며 외부 세계와 서비스 간의 신뢰 경계입니다. 성공은 Zero-Trust (mSL/JWT), 코드 정책, SLO 지향 트래픽 관리 및 직교 관찰 성에 의해 제공됩니다. 빌드: 엣지 게이트웨이 → BFF → 서비스 메쉬; 다양성을 유지하고 깃발을 특징으로합 웹 후크 및 키 테스트 카나리아 릴리스의 보호를 자동화하십시오.

1) 역할 및 배치 패턴

가장자리/API 게이트웨이 (남북): 외부 경계. 종료 TLS, WAF, DDoS, 소/Z, 속도/할당량, CORS, 변환, 캐시, 웹 후크.
BFF (백엔드 프론트 엔드): 특정 클라이언트 (웹/모바일/파트너) 를위한 사용자 정의 계층. 계획, 집계, 한계, 응답 캐싱.
내부 게이트웨이 (동서 )/서비스 Mesh Ingress: 내부 서비스 간 서비스 승인, mSL, 정책 라우팅.
gRPC/REST/GraphQL 게이트웨이: 단일 프로토콜 변환기 및 유효성 검사기 회로.

반 패턴: "환경을 분리하지 않고 하나의 모 놀리 식 게이트웨이를 통해", "플러그인의 숨겨진 비즈니스 로직", "수동 규칙 관리".

2) 신뢰 모델 및 인증

TLS 1. 2+/1. 주변에 3 개, 공개 도메인에 HSTS; 게이트웨이와 서비스 사이의 내부 -mTLS.
OAuth2/OIDC: 고객을위한 인증 코드 (PKCE); 서버 통합을위한 클라이언트 자격 증명; 짧은 TTL 및 키 회전 (JWKS) 이있는 JWT.
파트너 통합 및 웹 후크를위한 HMAC 서명 (클라이언트 키, Ś-256/512, 타임 스탬프 확인 및 재생 방지).
API 키-추적을위한 추가 요소로만; 한계 범위, IP, 용어.

모범 사례:

별도의 저자 (누가) 와 저자 (무엇을 할 수 있는지). 속성 (스코프, 역할, 세입자, 위험 플래그) 을 사용하십시오.
모든 토큰에는 aud/iss/exp/nbf가 있습니다. 시계-비대칭 소 60 년대; 필수 어린이 및 JWKS 캐시

3) 승인 및 정책 (제로 트러스트)

게이트웨이의 ABAC/RBAC: 클레임 + 요청 컨텍스트 (IP/ASN/geo/테넌트) 에 대한 규칙.
코드 정책 (예: OPA/Rego): Git, CI 검증, 카나리아 계산에 규칙 저장.
다중 임대: 세입자 경계에서 'X-Tenant-ID', SSO에 의한 격리; 임차인 당 할당량/제한.

4) 교통 관리 및 신뢰성

속도 제한: 누출/토큰 버킷, 세분성: 키/테넌트/경로/BIN/국가 (지불 API).
인용문: 일/월, 무거운 작업을 위해 별도로 (예: 보고서).
하중 및 SLO를 기반으로 한 버스트 제어 및 동적 스로틀 링.
회로 차단기: 오류/대기 시간에 개방; 업스트림에 의한 특이 치 검출.
백오프 + 지터로 재시도; demempotency: 키 'Idempotency-Key' + TTL 창 + 결과 저장소.
타임 아웃: 클라이언트 <게이트웨이 <업스트림; 합리적인 p95 기준점 (예: 1. 5s/3s/5s).
Failover/Canary:% - 라우팅 (가중), 세션 친화력 옵션, 파란색/녹색.

5) 변형 및 유효성 검사기

계획: REST 용 OpenAPI/JSON 스키마; gRPC에 대한 프로토 파; GraphQL 용 SDL. 게이트웨이에서 요청/응답 검증.
gRPC http REST 전치, GraphQL 연합 (BFF 용).
헤더 정규화 (트레이스 아이드, 보안 헤더), 응답 필터링 (PII 판).
CORS: 화이트리스트, 'Vary' 올바른, '승인' 요청에 대한 금지.

응답 캐싱 (ETag/Cache-Control)

6) 주변 보안

WAF: OWASP Top-10 규칙, 중요한 라우트에 대한 긍정적 인 모델, 가상 패치.
봇 보호: 요율 기반 서명, 장치 지문, 공개 엔드 포인트를위한 보호 캡카.
DDoS 쉴드: 업스트림 (클라우드) + 로컬 한계; 지오/ASN 블록 목록.
CSP/Referrer-Policy/X-Frame-Options-게이트웨이가 정적/위젯을 제공하는 경우.
WebSockets/SSE/WebTransport: 별도의 제한 및 타임 아웃 프로필; 토큰에 의한 가정 갱신.

7) 웹 후크: 보안 및 배달

각 수령인은 자신의 비밀을 가지고 있습 서명 'HMAC (서명, 타임 스탬프' 경로 '본문)'; 유효한 시간 창 (예: 5 분).
리셉션에서의 이념: '이벤트 _ id' 에 의한 결정.
Retrai: 지수, 최대 N; 핸드 셰이크의 상태 종점입니다.

mSL/허용 목록 IP; 제한이있는 주문형 재생 기능

8) 관찰 및 감사

로그: 비밀/PAN/PII를 기록하지 마십시오. 'trace _ id '/' span _ id' 로 상관 관계; 마스킹.
측정 항목: RPS, 클래스 별 오류율, 대기 시간 p50/p95/p99, 개방 회로, 재 시도 속도, 4xx vs 5xx, 채도.
트레일: W3C 트레이스 컨텍스트; 'traceparent '/' tracestate' 를 업스트림에 넣습니다.
감사: "누가 그리고 무엇을 불렀는지" 스트림, 변경 불가능한 스토리지; 정책 이벤트 (액세스 거부, 할당량 적중).

9) 비밀과 암호화

주요 저장소: KMS/Vault, 90 일마다 (또는 더 자주) 회전, 별도의 읽기 역할.
인증서: 자동 발행/업데이트 (ACME), 모바일 용 고정 (TOFU/HPKP 유사주의).
JWKS 회전: 두 개의 활성 키 (구/새), 투명 롤 창.
Cryptoprofiles SL: ECDHE 선호, 취약한 암호/프로토콜 금지.

10) 준수 및 데이터

PCI DSS: PAN 안전 스트림, 토큰 화; 플러그인을 통해 원시 PAN을 프록시하지 마십시오.
GDPR/DSAR: 지역/테넌트 라우팅, 데이터 레지던트, 삭제/익명화.

PII 노출 한계: 게이트웨이의 필터링 필터링, 민감한 헤더를 암호화합니다

11) 토폴로지 및 다중 지역

자체 관리 대 관리 (Envoy/Kong/NGINX vs Cloud API Gateway). 엄격한 제어/PCl-더 자주 자체 관리됩니다.
Multi-AZ/Multi-Region Active-Active: 지역 별 비밀 저장소 인 글로벌 DNA/GSLB, 건강 기반 및 지리 라우팅.
DR 계획: RPO/RTO, 정책 파란색의 차가운/따뜻한 대기 게이트웨이.

12) API 버전 지정 및 진화

전략: ² vN, 헤더 버전 지정, 컨텐츠 협상. 대중의 경우-명확한 탈퇴 정책 (6 ~ 12 개월 이상).
후방 구성: 선택적 필드를 추가하여 체계를 확장합니다. Git, OpenAPI 라인터 계약.
카나리아/그림자: 트래픽은 새 버전의 "그림자" 에서 실행되며 답변을 비교합니다.

13) 성능 및 캐시

GET/deidempotent 요청에 대한 가장자리에 캐시; 조건: 올바른 ETag/Cache-Control.
업스트림에 연결 풀링; HTT/2는 계속 유지합니다. gRPC의 경우-최대의 이점.
페이로드 예산-바디 크기의 컨스트레인 ggip/br.
고주파 패널/디렉토리에 대한 사전 계산 BFF 응답.

14) 설정 관리

GitOps: 경로/정책의 선언적 표현; 검토/CI (보푸라기, 보안 스캔); 카나리아 파티가있는 CD.
게이트웨이의 기능 플래그: 배포없는 빠른 경로/규칙 스위치.
반복 정책 (OIDC, rate, CORS) 에 대한 템플릿.

15) 미니 스 니펫 (의사)

이념성 (Kong/Envoy-style):

yaml plugins:
- name: idempotency config:
header: Idempotency-Key ttl: 24h storage: redis

속도/쿼터:

yaml
- name: rate-limiting config: {policy: local, minute: 600, key: consumer_id}
- name: response-ratelimiting config: {limits: {"heavy": {minute: 60}}, key: route_id}

JWT/OIDC:

yaml
- name: oauth2-introspection config:
jwks_uri: https://idp/.well-known/jwks. json required_scopes: ["payments:write","payments:read"]

WAF (프로필):

yaml
- name: waf config:
mode: block ruleset: owasp_crs exclusions: ["/health", "/metrics"]

웹훅 서명:

pseudo sig = HMAC_SHA256(secret, timestamp + "\n" + method + "\n" + path + "\n" + sha256(body))
assert     now - timestamp     < 300s

16) 게이트웨이 용 NFR 및 SLO

가동 시간 (월): 계속 99. 95% (가장자리), 9% (내부).
대기 시간 p95: 방대한 50-100 ms 업스트림 첨가제.
오류 예산: 할 수 없습니다. 게이트웨이에서 05% 5xx (업스트림 제외).

보안 정책: TLS 요청의 100%; 비밀 누출 사고 0 건; MTTR 취약성 WAF 규칙

17) 구현 점검표

건축지도: 가장자리 → BFF → 메쉬, 도메인/라우트 목록.

(PHP 3, PHP 4)

OAuth2/OIDC, 스코프/클레임, ABAC/OPA.
속도/할당량, 회로 차단기, 재 시도/백오프, demempotency.
OpenAPI/JSON 스키마 유효성 검사기, gRPC/REST/GraphQL 변환.
WAF/DDoS/봇 프로필, CORS/CSP.
웹훅 보안: HMAC, 재생 방지, 허용 목록.
로그/메트릭/트레일; 액세스/변경 감사.
GitOps/policy-as-code; 카나리아 계산; DR 계획.
PCI/GDPR 제어: 마스킹, 보류, DSAR 절차.

18) 빈번한 오류

게이트웨이 구성/로그에 비밀을 저장합니다.
CORS/trust 모든 'Origin' 의 Global ".
dempotence와 공정한 타임 아웃 부족 → 두 배와 눈사태.

게이트웨이 플러그인에서 저작물과 비즈니스 로직을 혼합합니

JWKS 회전 및 아이 → "고정" 키가 없습니다.
흔적 상관 관계가없는 관찰 가능성 → 눈을 멀게했습니다.

요약

Gateway API는 리버스 프록시 일뿐만 아니라 성능, 규정 준수 및 수익 창출을 지원하는 정책 및 보안 플랫폼입니다. Zero-Trust 구축, 계획 수정, SLO를 통한 트래픽 관리, GitOps를 통한 구성 자동화 및 코드 정책. 그런 다음 게이트웨이는 좁은 목이 아닌 아키텍처의 안정적인 "가장자리" 가됩니다.

게이트웨이 API 아키텍처 및 보안

TL; DR

요약

문의하기

빠른 연결

영상이 곧 업데이트됩니다

현재 프로젝트로 매우 바쁜 상태입니다