Tutorial: Hochverfügbarkeit für API-Gateways in Multi-Cloud- und Hybridumgebungen

Akash AnanthanarayananManager für technisches Marketing | F5 NGINX

Multi-Cloud-Bereitstellungen werden uns auch in Zukunft begleiten. Laut dem F5-Bericht „State of Application Strategy 2022“ betreiben 77 % der Unternehmen Anwendungen in mehreren Clouds. Die Einführung von Multi-Cloud- und Hybridarchitekturen bietet wichtige Vorteile, darunter eine höhere Effizienz, ein geringeres Ausfallrisiko und die Vermeidung einer Anbieterabhängigkeit. Diese komplexen Architekturen bringen jedoch auch besondere Herausforderungen mit sich.

Die von F5 befragten Führungskräfte aus den Bereichen Software und IT nannten folgende zentrale Herausforderungen bei der Nutzung mehrerer Clouds:

• Transparenz (45 % der Befragten)
• Sicherheit (44 %)
• Apps migrieren (41 %)
• Leistungsoptimierung (40 %)

Die Verwaltung von APIs für Microservices in Multi-Cloud-Umgebungen ist besonders komplex. Ohne eine ganzheitliche API-Strategie verbreiten sich APIs in Public-Cloud-, On-Premises- und Edge-Umgebungen schneller, als Platform-Ops-Teams sie absichern und verwalten können. Wir bezeichnen dieses Problem als „API-Wildwuchs“ und haben in einem früheren Beitrag erläutert, warum es eine so erhebliche Bedrohung darstellt.

Sie benötigen eine Multi-Cloud-API-Strategie, um Ihre inzwischen über mehrere Clouds verteilten Microservices mit einem durchdachten Ansatz zu vereinheitlichen und so eine durchgängige Konnektivität sicherzustellen. Zwei häufige Szenarien für Multi-Cloud- und Hybrid-Bereitstellungen sind:

• Unterschiedliche Dienste in Multi-Cloud-/Hybridumgebungen – Sie müssen verschiedene Anwendungen und APIs an unterschiedlichen Standorten betreiben, etwa aus Kostengründen oder weil verschiedene Dienste für unterschiedliche Benutzergruppen relevant sind.
• Gleiche Dienste in Multi-Cloud-/Hybrid-Umgebungen – Sie müssen eine hohe Verfügbarkeit für dieselben Anwendungen gewährleisten, die an verschiedenen Standorten bereitgestellt werden.

Im folgenden Tutorial zeigen wir Ihnen Schritt für Schritt, wie Sie den API Connectivity Manager, einen Bestandteil der F5 NGINX Management Suite, im zweiten Szenario einsetzen: Sie stellen dieselben Dienste in mehreren Umgebungen bereit, um eine hohe Verfügbarkeit zu gewährleisten. Dadurch wird ein Single Point of Failure in Ihrer Multi-Cloud- oder hybriden Produktionsumgebung vermieden: Fällt eine Gateway-Instanz aus, übernimmt eine andere, sodass es für Ihre Kunden selbst beim Ausfall einer Cloud zu keiner Unterbrechung kommt.

API Connectivity Manager ist eine cloudnative, laufzeitunabhängige Lösung für die Bereitstellung, Verwaltung und Absicherung von APIs. Über eine zentrale Benutzeroberfläche können Sie sämtliche API-Vorgänge für NGINX Plus-API-Gateways und Entwicklerportale verwalten, die in Public-Cloud-, On-Premises- und Edge-Umgebungen bereitgestellt sind. Dadurch erhalten Ihre Platform-Ops-Teams vollständige Transparenz über den API-Datenverkehr und können einheitliche Governance- und Sicherheitsrichtlinien problemlos in jeder Umgebung anwenden.

Aktivieren von Hochverfügbarkeit für API-Gateways in einer Multi-Cloud-Bereitstellung

Wie in der Einleitung erwähnt, konfigurieren wir in diesem Tutorial den API Connectivity Manager, um eine hohe Verfügbarkeit von Diensten zu gewährleisten, die in mehreren Bereitstellungsumgebungen ausgeführt werden. Konkret stellen wir NGINX Plus als API-Gateway bereit, das den Datenverkehr an zwei Dienste weiterleitet: Dienst A und Dienst B. Diese werden in zwei öffentlichen Clouds ausgeführt: Google Cloud Platform (GCP) und Amazon Web Services (AWS). (Die Konfiguration eignet sich gleichermaßen für jede beliebige Kombination von Bereitstellungsumgebungen, einschließlich Microsoft Azure und lokalen Rechenzentren.)

Abbildung 1 zeigt die in diesem Tutorial verwendete Topologie.

Führen Sie die Schritte in diesen Abschnitten aus, um das Tutorial abzuschließen:

• API Connectivity Manager installieren und konfigurieren
• NGINX Plus-Instanzen als API-Gateways bereitstellen
• Infrastruktur-Workspace einrichten
• Eine Umgebung und API-Gateway-Cluster erstellen
• Globale Richtlinien anwenden

API Connectivity Manager installieren und konfigurieren

1. Schließen Sie ein Test- oder kostenpflichtiges Abonnement für die NGINX Management Suite ab. Diese umfasst den Instance Manager und den API Connectivity Manager sowie NGINX Plus als API-Gateway und NGINX App Protect zum Schutz Ihrer APIs. Starten Sie zum Einstieg eine kostenlose 30-Tage-Testversion der NGINX Management Suite.
2. Installieren Sie die NGINX Management Suite. Befolgen Sie im Abschnitt „Management Suite-Module installieren“ die Anweisungen für den API Connectivity Manager (und optional für weitere Module).
3. Lizenz hinzufügen für jedes installierte Modul.
4. (Optional) TLS-Terminierung und mTLS einrichten, um die Clientverbindungen zur NGINX Management Suite beziehungsweise den Datenverkehr zwischen API Connectivity Manager und NGINX Plus-Instanzen auf der Datenebene abzusichern.

NGINX Plus-Instanzen als API-Gateways bereitstellen

Wählen Sie die Umgebungen aus, aus denen Ihre Multi-Cloud- oder Hybridinfrastruktur besteht. Für dieses Tutorial haben wir AWS und GCP ausgewählt und installieren in jeder Cloud eine NGINX Plus-Instanz. Führen Sie in jeder Umgebung auf jedem Datenebenen-Host, der als API-Gateway fungieren soll, die folgenden Schritte aus:

1. NGINX Plus installieren auf einem unterstützten Betriebssystem.
2. Installieren Sie das NGINX-JavaScript-Modul (njs).
3. Fügen Sie die folgenden Direktiven im Hauptkontext (auf oberster Ebene) in „/etc/nginx/nginx.conf“ hinzu:

load_module modules/ngx_http_js_module.so;load_module modules/ngx_stream_js_module.so;

1. Starten Sie NGINX Plus neu, indem Sie beispielsweise den folgenden Befehl ausführen:

$ nginx -s reload

Infrastruktur-Workspace einrichten

Sie können im API Connectivity Manager mehrere Infrastruktur-Workspaces erstellen (zum Zeitpunkt der Erstellung dieses Textes bis zu 10). Mit getrennten Workspaces können Sie Richtlinien und Anforderungen für die Authentifizierung und Autorisierung anwenden, die speziell auf verschiedene Geschäftsbereiche, Entwicklerteams, externe Partner, Clouds usw. zugeschnitten sind.

Erstellen Sie in der Benutzeroberfläche von API Connectivity Manager einen neuen Arbeitsbereich:

1. Klicken Sie in der linken Navigationsspalte auf „Infrastruktur“.
2. Klicken Sie auf die Schaltfläche „ + Erstellen“, um einen neuen Arbeitsbereich zu erstellen, wie in Abbildung 2 dargestellt.
   
   Abbildung 2: Erstellen eines neuen Infrastruktur-Arbeitsbereichs
3. Geben Sie im daraufhin geöffneten Bereich „Workspace erstellen“ im Feld „Name“ einen Namen ein („demo“ in Abbildung 3). Optional können Sie das Feld „Beschreibung“ sowie die Felder im Abschnitt „Workspace-Kontaktdaten“ ausfüllen. Der Infrastrukturadministrator (beispielsweise Ihr Platform-Ops-Team) kann die Kontaktdaten verwenden, um die Benutzer des Workspace über den Status oder Probleme zu informieren.
   
   Abbildung 3: Benennen eines neuen Infrastruktur-Workspace und Hinzufügen von Kontaktdaten
4. Klicken Sie auf die Schaltfläche „Erstellen“.

Eine Umgebung und API-Gateway-Cluster erstellen

In API Connectivity Manager ist eine Umgebung eine logische Gruppierung dedizierter Ressourcen (z. B. API-Gateways oder API-Entwicklerportale). Sie können mehrere Umgebungen pro Arbeitsbereich erstellen (zum Zeitpunkt der Erstellung dieses Dokuments bis zu 25). Diese entsprechen in der Regel verschiedenen Phasen der Anwendungsentwicklung und -bereitstellung, etwa Programmierung, Tests und Produktion, können jedoch für jeden beliebigen Zweck verwendet werden.

Innerhalb einer Umgebung ist ein API-Gateway-Cluster eine logische Gruppierung von NGINX Plus-Instanzen, die als API-Gateways fungieren. Eine einzelne Umgebung kann mehrere API-Gateway-Cluster mit demselben Hostnamen umfassen (zum Beispiel api.nginx.com, wie in diesem Tutorial). Die NGINX Plus-Instanzen in einem API-Gateway-Cluster können sich in mehreren Arten von Infrastruktur befinden, beispielsweise in mehreren Clouds.

Es gibt zwei Möglichkeiten, eine Umgebung im API Connectivity Manager für die Aktiv/Aktiv-Hochverfügbarkeit von API-Gateways zu konfigurieren:

• Mit einem API-Gateway-Cluster
• Mit mehreren API-Gateway-Clustern

Der Hauptgrund für die Bereitstellung mehrerer API-Gateway-Cluster besteht darin, dass Sie auf jeden Cluster unterschiedliche Sicherheitsrichtlinien anwenden können.

Unter „NGINX Plus-Instanzen als API-Gateways bereitstellen“ haben wir zwei NGINX Plus-Instanzen bereitgestellt – eine in AWS und die andere in GCP. Im Tutorial werden dieselben Instanzen verwendet, um beide Umgebungstypen zu veranschaulichen (mit einem einzelnen API-Gateway-Cluster oder mit mehreren API-Gateway-Clustern). Wenn Sie beide Umgebungstypen in einem einzigen Arbeitsbereich bereitstellen möchten, müssen Sie zusätzliche NGINX Plus-Instanzen für die zweite Umgebung erstellen.

Eine Umgebung mit einem API-Gateway-Cluster bereitstellen

Für eine Umgebung mit einem API-Gateway-Cluster gelten dieselben Sicherheitsrichtlinien für alle NGINX Plus-API-Gateway-Instanzen, wie in Abbildung 4 dargestellt.

Umgebung und API-Gateway-Cluster erstellen

1. Navigieren Sie zu Ihrem Workspace und klicken Sie auf die Schaltfläche Umgebung erstellen (siehe Abbildung 5).
   
   Abbildung 5: Erstellen einer neuen Umgebung in einem Infrastruktur-Workspace
2. Geben Sie im daraufhin geöffneten Bereich „Umgebung erstellen“ im Feld „Name“ einen Namen ein (in Abbildung 6: „prod“) und füllen Sie optional das Feld „Beschreibung“ aus. Wählen Sie anschließend den Umgebungstyp aus (hier wählen wir „Produktion“).
   
   Abbildung 6: Benennen einer neuen Umgebung und Zuweisen eines API-Gateway-Clusters
3. Füllen Sie im Abschnitt „API-Gateway-Cluster“ die Felder „Name“ und „Hostname“ aus (api-cluster und api.nginx.com in Abbildung 6).
4. Klicken Sie auf die Schaltfläche „ Erstellen“. Daraufhin wird der Bereich „Umgebung erstellt“ geöffnet. Dort wird der Befehl angezeigt, den Sie auf jeder NGINX Plus-Instanz ausführen müssen, um sie dem API-Gateway-Cluster zuzuweisen. Der Einfachheit halber zeigen wir die Befehle unten in Schritt 7 an.

API-Gateway-Instanzen einem API-Gateway-Cluster zuweisen

Wiederholen Sie dies auf jeder NGINX Plus-Instanz:

1. Stellen Sie mit ssh eine Verbindung zur Instanz her und melden Sie sich an.
2. Wenn der NGINX Agent bereits ausgeführt wird, beenden Sie ihn:

$ systemctl stop nginx-agent

1. Führen Sie den gewünschten Befehl (entweder „curl“ oder „wget“) aus, um das NGINX-Agent-Paket herunterzuladen und zu installieren:

$ curl [-k] https://<NMS_FQDN>/install/nginx-agent > install.sh && sudo sh -install.sh -g <cluster_name> && sudo systemctl start nginx-agent

1. oder

$ wget [--no-check-certificate] https://<NMS_FQDN>/install/nginx-agent --no-check-certificate -O install.sh && sudo sh install.sh -g <cluster_name> && sudo systemctl start nginx-agent

1. Die NGINX Plus-Instanzen werden nun im Abschnitt Instanzen des Fensters Cluster für api-cluster angezeigt, wie in Abbildung 7 dargestellt.
   
   Abbildung 7: Ein einzelner API-Gateway-Cluster fasst NGINX Plus-Instanzen zusammen, die in mehreren Clouds bereitgestellt sind
   • Wenn Sie mTLS nicht unter „API Connectivity Manager installieren und konfigurieren“ aktiviert haben, fügen Sie Folgendes hinzu:
     • Das ‑k-Flag für den curl-Befehl
     • Die Option „--no-check-certificate“ für den Befehl „wget“
   • Ersetzen Sie <NMS_FQDN> durch die IP-Adresse oder den vollständig qualifizierten Domänennamen Ihres NGINX Management Suite-Servers.
   • Ersetzen Sie für „<cluster_name>“ den Namen des API-Gateway-Clusters (in diesem Tutorial „api-cluster“).
2. Fahren Sie mit „Globale Richtlinien anwenden“ fort.

Eine Umgebung mit mehreren API-Gateway-Clustern bereitstellen

Für eine Umgebung mit mehreren API-Gateway-Clustern können unterschiedliche Sicherheitsrichtlinien für verschiedene NGINX Plus-API-Gateway-Instanzen gelten, wie in Abbildung 8 dargestellt.

Umgebung und API-Gateway-Cluster erstellen

1. Navigieren Sie zu Ihrem Workspace und klicken Sie auf die Schaltfläche Umgebung erstellen, wie in Abbildung 9 dargestellt.
   
   Abbildung 9: Erstellen einer neuen Umgebung in einem Infrastruktur-Workspace
2. Geben Sie im daraufhin geöffneten Bereich Umgebung erstellen im Feld Name einen Namen ein (prod in Abbildung 10), füllen Sie optional das Feld Beschreibung aus und wählen Sie den Umgebungstyp aus (hier wählen wir Produktion).
   
   Abbildung 10: Benennen einer neuen Umgebung und Zuweisen des ersten API-Gateway-Clusters
3. Füllen Sie im Abschnitt „API Gateway Clusters“ die Felder „Name“ und „Hostname“ aus (in Abbildung 10 lauten die Werte „aws-cluster“ und „api.nginx.com“).
4. Klicken Sie auf die Schaltfläche „ Erstellen“. Daraufhin wird der Bereich „Umgebung erstellt“ geöffnet. Dort wird der Befehl angezeigt, den Sie auf jeder NGINX Plus-Instanz ausführen müssen, um sie dem API-Gateway-Cluster zuzuweisen. Der Einfachheit halber zeigen wir die Befehle unten in Schritt 10 an.
5. Navigieren Sie zurück zur Registerkarte „Umgebung“ und klicken Sie oben rechts im Abschnitt „ + Hinzufügen“ auf die Schaltfläche „API-Gateway-Cluster“, wie in Abbildung 11 dargestellt.
   
   Abbildung 11: Hinzufügen eines weiteren API-Gateway-Clusters zu einer Umgebung
6. Geben Sie im Bereich „API-Gateway-Cluster erstellen“ in das Feld „Name“ den Namen des zweiten Clusters (gcp-cluster in Abbildung 12) und in das Feld „Hostname“ denselben Hostnamen wie für den ersten Cluster ein (api.nginx.com).
   
   Abbildung 12: Hinzufügen des zweiten API-Gateway-Clusters zu einer Umgebung

Die beiden API-Gateway-Cluster werden nun unter „API-Gateway-Cluster“ für die Umgebung „Prod“ angezeigt, wie in Abbildung 13 dargestellt.

API-Gateway-Instanzen einem API-Gateway-Cluster zuweisen

Wiederholen Sie dies auf jeder NGINX Plus-Instanz:

1. Stellen Sie mit ssh eine Verbindung zur Instanz her und melden Sie sich an.
2. Wenn der NGINX Agent bereits ausgeführt wird, beenden Sie ihn:

$ systemctl stop nginx-agent

1. Führen Sie den gewünschten Befehl aus (entweder curl oder wget), um das NGINX-Agent-Paket herunterzuladen und zu installieren:

$ curl [-k] https://<NMS_FQDN>/install/nginx-agent > install.sh && sudo sh -install.sh -g <cluster_name> && sudo systemctl start nginx-agent

1. oder

$ wget [--no-check-certificate] https://<NMS_FQDN>/install/nginx-agent --no-check-certificate -O install.sh && sudo sh install.sh -g <cluster_name> && sudo systemctl start nginx-agent

1. Die entsprechende NGINX Plus-Instanz wird nun im Bereich Instanzen der Cluster-Fenster für aws‑cluster (Abbildung 14) und gcp‑cluster (Abbildung 15) angezeigt.
   
   Abbildung 14: Der erste von zwei API-Gateway-Clustern in einer Umgebung, die sich über mehrere Clouds erstreckt
   
   Abbildung 15: Der zweite von zwei API-Gateway-Clustern in einer Umgebung, die sich über mehrere Clouds erstreckt Globale Richtlinien anwenden Nun können Sie globale Richtlinien hinzufügen, die für alle NGINX Plus-Instanzen in einem API-Gateway-Cluster gelten. Um beispielsweise den Clientzugriff auf Ihre APIs abzusichern, können Sie die Richtlinie OpenID Connect Relying Party oder TLS Inbound anwenden. Um die Verbindung zwischen einem API-Gateway und dem Backend-Dienst abzusichern, der die API bereitstellt, wenden Sie die Richtlinie TLS Backend an. Weitere Informationen zu TLS-Richtlinien finden Sie in der Dokumentation zu API Connectivity Manager. Fazit Die Verwaltung von Multi-Cloud- und Hybridarchitekturen ist keine leichte Aufgabe. Es handelt sich um komplexe Umgebungen mit sich schnell ändernden Anwendungen, die häufig nur schwer zu überwachen und abzusichern sind. Mit den richtigen Tools können Sie jedoch eine Anbieterbindung vermeiden und gleichzeitig die Agilität und Flexibilität bewahren, die Sie benötigen, um neue Funktionen schneller auf den Markt zu bringen. Als cloudnatives Tool bietet Ihnen API Connectivity Manager von NGINX die Skalierbarkeit, Transparenz, Governance und Sicherheit, die Sie für die Verwaltung von APIs in Multi-Cloud- und Hybridumgebungen benötigen. Starten Sie eine 30-tägige kostenlose Testversion von NGINX Management Suite, die Zugriff auf API Connectivity Manager, NGINX Plus als API-Gateway und NGINX App Protect zur Absicherung Ihrer APIs umfasst.
   • Wenn Sie mTLS nicht unter „API Connectivity Manager installieren und konfigurieren“ aktiviert haben, fügen Sie Folgendes hinzu:
     • Das ‑k-Flag für den curl-Befehl
     • Das --no-check-certificate-Flag für den wget-Befehl
   • Ersetzen Sie für <NMS_FQDN> den Platzhalter durch die IP-Adresse oder den vollständig qualifizierten Domänennamen Ihres NGINX Management Suite-Servers.
   • Ersetzen Sie für <cluster_name> den Platzhalter durch den Namen des entsprechenden API-Gateway-Clusters (in diesem Tutorial aws‑cluster für die in AWS bereitgestellte Instanz und gcp‑cluster für die in GCP bereitgestellte Instanz).

1. Navigieren Sie zur Registerkarte „Cluster“ des API-Gateways, auf das Sie eine Richtlinie anwenden möchten („api-cluster“ in Abbildung 16). Klicken Sie auf die Schaltfläche „Manage“ oberhalb der rechten Ecke der Tabelle „Policies“.
   
   Abbildung 16: Verwalten von Richtlinien für einen API-Gateway-Cluster
2. Klicken Sie in der linken Navigationsspalte auf „Globale Richtlinien“ und anschließend in der äußersten rechten Spalte der Zeile für die Richtlinie (…-Symbol; TLS-Backend in Abbildung 17). Wählen Sie im Dropdown-Menü „ + Richtlinie hinzufügen“ aus.
   
   Abbildung 17: Hinzufügen einer globalen Richtlinie zu einem API-Gateway-Cluster

Über den Autor

Akash AnanthanarayananManager für technisches Marketing | F5 NGINX

Weitere Blogbeiträge von Akash Ananthanarayanan