对自承载网关使用令牌身份验证

可以使用 Helm 图表部署具有令牌身份验证的自承载网关。

将 helm install 命令中的以下值替换为实际值：

• <gateway-name>：Azure API 管理实例名称
• <gateway-url>：网关的 URL，格式 https://<gateway-name>.configuration.azure-api.cn
• <gateway-key>：访问令牌

有关先决条件和详细信息，请参阅 使用 Helm 部署 API 管理自承载网关。

helm install --name azure-api-management-gateway azure-apim-gateway/azure-api-management-gateway \
             --set gateway.configuration.uri='<gateway-url>' \
             --set gateway.auth.key='<gateway-key>'

确认网关正在运行

1. 运行以下命令来检查网关 Pod 是否正在运行。 Pod 名称将有所不同。

   kubectl get pods
   NAME                                           READY     STATUS    RESTARTS   AGE
   azure-api-management-gateway-59f5fb94c-s9stz   1/1       Running   0          1m
   

2. 运行以下命令来检查网关服务是否正在运行。 你的服务名称和 IP 地址与此不同。

   kubectl get services
   NAME                           TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)               AGE
   azure-api-management-gateway   ClusterIP   10.0.229.55     <none>        8080/TCP,8081/TCP     1m
   

3. 返回到Azure门户，确认部署的网关节点报告正常状态。

以下示例 YAML 配置显示了使用令牌身份验证部署到 Kubernetes 所需的组件和设置。

---
apiVersion: v1
kind: Secret
metadata:
  name: apim-access-token
  namespace: <namespace-name>
type: Opaque
stringData:
  config.service.auth.key: "<configuration-token>"
---
apiVersion: v1
kind: ConfigMap
metadata:
  name: apim-gateway-env
  namespace: <namespace-name>
data:
  gateway.name: <gateway-name>
  config.service.auth: key
  config.service.endpoint: https://<service-name>.configuration.azure-api.cn
  telemetry.logs.std.level: info
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: apim-gateway
  namespace: <namespace-name>
spec:
  replicas: 1
  selector:
    matchLabels:
      app: apim-gateway
  template:
    metadata:
      labels:
        app: apim-gateway
    spec:
      containers:
      - name: apim-gateway
        image: mcr.microsoft.com/azure-api-management/gateway:v2
        ports:
        - name: http
          containerPort: 8080
          protocol: TCP
        - name: https
          containerPort: 8081
          protocol: TCP
        readinessProbe:
          failureThreshold: 3
          httpGet:
            path: /internal-status-0123456789abcdef
            port: http
            scheme: HTTP
          periodSeconds: 5
          successThreshold: 1
          timeoutSeconds: 1
        resources:
          limits:
            cpu: "2"
            memory: 2Gi
          requests:
            cpu: "2"
            memory: 2Gi
        envFrom:
        - configMapRef:
            name: apim-gateway-env
        - secretRef:
            name: apim-access-token
---
apiVersion: v1
kind: Service
metadata:
  name: apim-gateway-loadbalancer
  namespace: <namespace-name>
spec:
  type: LoadBalancer
  selector:
    app: apim-gateway
  ports:
  - name: http
    port: 80
    protocol: TCP
    targetPort: 8080
  - name: https
    port: 443
    protocol: TCP
    targetPort: 8081

ConfigMap 定义网关的身份验证和连接设置：

• config.service.auth：密钥 - 将基于令牌的身份验证指定为方法
• config.service.endpoint - API 管理配置终结点 URL
• gateway.name - API 管理实例中的网关资源的名称

部署到 Kubernetes

将 YAML 配置保存到文件（例如 apim-access-token.yaml），并将其部署到 Kubernetes 群集：

kubectl apply -f apim-access-token.yaml

验证部署：

kubectl get pods -n <namespace-name>
kubectl logs -n <namespace-name> <pod-name>

确认网关正在运行

1. 运行以下命令，检查部署是否成功。 创建所有对象以及 Pod 初始化可能需要一点时间。

   kubectl get deployments
   

   它应返回

   NAME             READY   UP-TO-DATE   AVAILABLE   AGE
   <gateway-name>   1/1     1            1           18s
   

2. 运行以下命令，检查是否已成功创建服务。 服务 IP 和端口将有所不同。

   kubectl get services
   

   它应返回

   NAME                                TYPE           CLUSTER-IP      EXTERNAL-IP   PORT(S)                      AGE
   <gateway-name>-live-traffic         ClusterIP      None            <none>        4290/UDP,4291/UDP   9m1s
   <gateway-name>-instance-discovery   LoadBalancer   10.99.236.168   <pending>     80:31620/TCP,443:30456/TCP   9m1s
   

3. 返回到 Azure 门户，然后选择网关的 “概述 ”选项卡。

4. 确认状态显示为绿色勾号，并且节点计数与 YAML 文件中指定的副本数量一致。 此状态意味着部署的自托管网关 Pod 已成功与 API 管理服务进行通信，并定期发送“心跳信号”。