NGINX Kubernetes API

1. NGINXで実現する Kubernetesにおける API ゲートウェイのユースケース Hiroshi Matsumoto

6. ©2022 F5 6 API Gateway とはなにか？ • API Gatewayとは、クライアント・アプリケーション間でAPIへのエントリーポイントを提供する機能。単一のポイントで様々なAPIへの通信やその制御を提供する API GW • APIルーティング • Service Discovery • Rate Limit • APIキャッシング • API Observability • API認証・認可 • TLS暗号化 • 細かなアクセス制御 • WAF/L7DoS対策 API GW 提供機能

7. ©2022 F5 7 課題：デジタルトランスフォーメーションが運用を複雑化 70% 社内システム統合のためAPIを構築する企業 81% パブリック/プライベートクラウド、オンプレミス等、3つ以上の環境を利用する企業 41% 12ヶ月以内にAPIに関するセキュリティインシデントが発生した組織 SOURCE: State of Application Strategy Report (F5, 2022); “API Attacks Soar Amid Growing Application Surface Area” (Dark Reading, 2022) アーキテクチャの増加、APIの増加がセキュリティインシデントの可能性を高める

8. ©2022 F5 8 課題：APIセキュリティとは？ API のセキュリティ対策次のうちAPIの保護に有効なものはどれですか？すべてを選択してください IDベースのセキュリティはAPIの保護で重要となるリスク管理の手法ですセキュリティ機能を無効にすることを考える、パフォーマンスへの影響はどの程度の場合ですか？多くの人がパフォーマンスへの影響を理由にセキュリティを犠牲にし、それは軽微な影響でも発生することが見られました。これは役割や産業による大きな差はありませんでしたその選択はしないパフォーマンスのため 76% はセキュリティ機能をオフにする可能性があると答えています認証認可振る舞いによるアノマリ検知悪意あるデータのスキャン暗号化/復号化 Rate Limitの実施 OWSP Top10 API対策 SOURCE: State of Application Strategy Report (F5, 2022) セキュリティ制御機能を停止に見合うパフォーマンス影響

12. ©2022 F5 12 柔軟に拡張できる最高のパフォーマンス HARDWARE SPECS EXPECTED PERFORMANCE 2 CPU cores 4 GB RAM 2x10 GbE NIC 74,000 RPS 9,100 SSL TPS (ECC) 4 Gbps throughput 4 CPU cores 8 GB RAM 2x10 GbE NIC 150,000 RPS 17,600 SSL TPS (ECC) 8 Gbps throughput 8 CPU cores 16 GB RAM 2x10 GbE NIC 300,000 RPS 33,000 SSL TPS (ECC) 8 Gbps throughput HARDWARE SPECS EXPECTED PERFORMANCE 2 CPU cores 4 GB RAM 2x1 GbE NIC 90,000 RPS 4,500 SSL TPS (ECC) 1 Gbps throughput 4 CPU cores 4 GB RAM 2x40 GbE NIC 175,000 RPS 8,500 SSL TPS (ECC) 5 Gbps throughput 8 CPU cores 4 GB RAM 2x40 GbE NIC 350,000 RPS 16,000 SSL TPS (ECC) 40 Gbps throughput 0 2000 4000 6000 8000 10000 12000 14000 16000 18000 ECC 0 50000 100000 150000 200000 250000 300000 350000 400000 RPS 0 5000 10000 15000 20000 25000 30000 35000 ECC 0 50000 100000 150000 200000 250000 300000 350000 RPS 2 Core 4 GB 4 Core 4 GB 8 Core 4 GB 2 Core 4 GB 4 Core 8 GB 8 Core 16 GB https://www.nginx.com/resources/datasheets/nginx-plus-sizing-guide/ https://www.nginx.com/resources/datasheets/nginx-ingress-controller-kubernetes/ ベアメタル：CPU/メモリに応じて様々な規模に柔軟な対応 Ingress Controller：アプライアンスに相当する高速・安定な処理安定・拡張性

14. ©2022 F5 14 NGINX セキュリティ製品 Delivering modern applications at scale across seamlessly across multi-cloud NGINX App Protect WAF アプリケーションに特化した Web Application Firewall NGINX+にシームレスに統合可能な新しいWAF。 F5の実績に基づき、高速な高品質な WAFを実現 High quality Support NGINX App Protect DoS 新世代DoS攻撃への対応 NGINX+にシームレスに統合可能な新しいDoS対策。従来のツールや戦略では検知できないレイヤー7のDoS脅威から高度な保護を実現

15. ©2022 F5 15 NGINX コンテナ製品 Delivering modern applications at scale across seamlessly across multi-cloud NGINX Service Mesh NGINX Plusで複雑なマイクロサービス、アプリケーション間の通信問題を解決するシンプルなサービスメッシュソリューション。 NGINX Ingress Controller Kubernetes環境への外部アクセスをコントロール。 NGINX機能をIngressリソースを通じて管理可能。NGINX App Protect WAF / DoS 対応 High quality Support

17. ©2022 F5 17 NGINXによりセキュアでハイパフォーマンスなAPIGWを実現柔軟な設定 NGINX Plusは柔軟な設定が可能。 K8Sで利用可能なNGINX Ingress Controller、NGINX Service Mesh はYAMLで容易に管理可能プラットフォーム依存なしどの環境にもデプロイ可能。クラウド、オンプレミス、 Kubernetes環境、Edge DevOps フレンドリー容易にCI/CDパイプラインに統合可能。構成がシンプルで、設定ファイルの内容を即座に反映可能トラフィック可視性メトリクスの提供により、APM ツールと連携し通信のステータスを管理可能 Ingress Controller Kubernetes Cluster pod pod pod

18. ©2022 F5 18 NGINXで API Gateway の様々なユースケースを実現 API GW • APIルーティング • URL PATH • HTTP Method • URL Parameter • Cookie値 • Load Balancing • 割合の指定 • Service Discovery • Rate Limit • APIキャッシング • API Observability • API認証・認可 • TLS暗号化 • 細かなアクセス制御 • WAF/L7DoS対策 API GW 提供機能活用ユースケース • A/Bテスト • Canary リリース • 柔軟な通信の転送 • 柔軟な通信の制御 • ヘッダー操作 • Service Discovery • Rate Limit • APIキャッシング • Grafana/Prometheus等APM連携 • Basic/JWT/OIDC • TLS/mTLS • WAFによる防御・制御 • Swagger Fileによる制御 • L7DoS対策

20. ©2022 F5 20 NGINX App Protect WAF のパフォーマンス vs WAFなし Latency (ms) NGINX App Protect WAF vs No Security latency distribution Lower is better Source: Gigaom 2021 WAF機能を導入した際にも、通信遅延を限りなく少なく抑えることが可能ほぼ遅延の値に差がない

23. ©2022 F5 23 Canary Release: 割合を指定した通信の分散 Ingress Controller Kubernetes Cluster pod 1. NGINX Ingress Controllerで実施 target-v2-0 • 宛先となるサービスの転送する割合を指定 • Kubernetes外部に公開しているサービスの割合を変更し、段階的な切り替えが可能 2. NGINX Service Meshで実施 • target-svcが転送するサービスの割合を指定 • Kubernetes内部のサービス間の割合を指定変更し、段階的な切り替えが可能 pod target-v1-0 Ingress Controller Kubernetes Cluster webapp target- svc svc pod target-v1-0 pod svc target-v2-0 pod svc 分散割合を指定分散割合を指定 https://f5j-nginx-k8s-apigw.readthedocs.io/en/latest/class1/module03/module03.html

24. ©2022 F5 24 JWT: JWTの内容をもとに通信制御を実施 Ingress Controller Kubernetes Cluster pod 3. NIC / NSMで実施 target-v2-0 • NIC(NGINX Ingress Controller)でPolicyを指定し、JWTによる通信制御を実施 • NICでJWTに含まれる情報をHTTPヘッダーに追加 • NSM(NGINX Service Mesh)でHTTPヘッダーの内容に応じた通信制御を実施 4. NAP WAFで悪意ある通信を防御 • NICでPolicyを指定し、WAFの制御を実施 pod target-v1-0 Ingress Controller Kubernetes Cluster webapp target- svc svc pod target-v1-0 pod svc target-v2-0 pod svc JWT制御・ヘッダー追加ヘッダーによる制御 WAF Policy制御 https://f5j-nginx-k8s-apigw.readthedocs.io/en/latest/class1/module03/module03.html

26. ©2022 F5 26 NGINXが実現するKubernetes環境に最適なAPIGW オンプレミス Ingress Controller 外部ネットワークからの攻撃 pod Kubernetes Cluster pod pod Ingress Controller Kubernetes Cluster pod pod pod クラウド・オンプレなど共通の構成管理柔軟な通信制御 CRDによる適切な権限委任 WAF/L7Dos機能のシームレスな統合安定・シンプル・リソース消費を抑えたサービスメッシュリソースが少なく、高速なNGINXにより高度な通信制御を実現いただけますプラットフォームの自由な選択

28. ©2022 F5 28 BLOG: API ゲートウェイ / Ingressコントローラー / サービスメッシュをどのように選択するか？サンプルシナリオ：メソッドレベルのルーティング East-West API Gateway のユースケース: サービスメッシュの利用 https://www.nginx.co.jp/blog/how-do-i-choose-api-gateway-vs-ingress-controller-vs-service-mesh/

29. ©2022 F5 29 無料トライアル https://www.nginx.co.jp/free-trial-request/ https://www.nginx.co.jp/free-trial-request-nginx-ingress-controller/ NGINX Plus, NGINX App Protect 無料トライアル NGINX Plusは、オールインワン型のソフトウェアロードバランサ、コンテンツキャッシュ、Webサーバ、APIゲートウェイ、マイクロサービスプロキシです。 NGINX App Protectは、業界トップクラスのF5の高度なWAFテクノロジーをNGINX Plusに搭載し最新のアプリケーションセキュリティを提供します。この2つの技術の融合により、最新の分散型環境におけるWeb/モバイルアプリケーションの拡張性と保護が実現します。 NGINX Ingress Controller with NGINX App Protect 無料トライアル NGINX Plusで実現するNGINX Ingress Controllerは、軽量で、Kubernetesアプリケーションに最適な高度な機能を搭載するオールインワンソフトウェアです。無料のNGINX Service Meshとも統合することが可能で、単一の構成でnorth-south とeast-westの両方のトラフィックを管理できます。高性能な機能で、本番環境で利用するKubernetesに最適なアプリケーションデリバリを提供します。 NGINX Plus無料トライアル NGINX Ingress Controller 無料トライアル

33. ©2022 F5 33 これからはじめるNGINX技術解説 https://www.nginx.co.jp/resources/webinars/nginx-back-to-basic-jp/ 基本編 Part1 ・基本動作、OSS / Plus違い基本編 Part2 ・Reverse Proxy、LB設定セキュリティ編・WAF、RateLimit、Auth Ingress Controller編・設定、Snippet、Log

NGINX Kubernetes API

Esté a ler uma amostra.

Confira estes a seguir

NGINX Kubernetes API

Mais Conteúdo rRelacionado

Semelhante a NGINX Kubernetes API (20)

Mais de NGINX, Inc. (20)

Mais recentes (20)