Referência: definições de configuração de contêiner de gateway auto-hospedado

APLICA-SE A: Desenvolvedor | Premium

Este artigo fornece uma referência para configurações obrigatórias e opcionais que são usadas para configurar o contêiner de gateway auto-hospedado do Gerenciamento de API.

Para mais informações, veja Orientação para rodar um gateway autohospedado no Kubernetes em produção.

Importante

Esta referência se aplica apenas ao gateway auto-hospedado v2. Esta referência indica a versão mínima que suporta cada configuração.

Integração da API de configuração

O gateway auto-hospedado usa a API de Configuração para se conectar ao Gerenciamento de API do Azure, obter a configuração mais recente e enviar métricas quando ativadas.

A tabela a seguir descreve as opções de configuração para integração da API de Configuração:

Nome Descrição Obrigatório Padrão Disponibilidade
gateway.name ID do recurso de gateway auto-hospedado. Sim, ao usar a autenticação do Microsoft Entra N/D v2.3+
config.service.endpoint Ponto de extremidade de configuração no Gerenciamento de API do Azure para o gateway auto-hospedado. Encontre este valor no portal do Azure em Gateways>Implantação. Sim N/D v2.0+
config.service.auth Define como o gateway auto-hospedado autentica a API de Configuração. Atualmente, o gateway suporta token de gateway e autenticação Microsoft Entra. Sim N/D v2.0+
config.service.auth.azureAd.tenantId ID do locatário do Microsoft Entra. Sim, ao usar a autenticação do Microsoft Entra N/D v2.3+
config.service.auth.azureAd.clientId ID do cliente do aplicativo Microsoft Entra para autenticação (também conhecida como ID do aplicativo). Sim, ao usar a autenticação do Microsoft Entra N/D v2.3+
config.service.auth.azureAd.clientSecret Segredo do aplicativo Microsoft Entra com o qual autenticar. Sim, ao usar autenticação Microsoft Entra (a menos que você especifique um certificado) N/D v2.3+
config.service.auth.azureAd.certificatePath Caminho para o certificado a ser autenticado para o aplicativo Microsoft Entra. Sim, ao usar autenticação Microsoft Entra (a menos que você especifique um segredo) N/D v2.3+
config.service.auth.azureAd.authority URL de autoridade da ID do Microsoft Entra. Não https://login.microsoftonline.com v2.3+
config.service.auth.tokenAudience Audiência do token para autenticação Microsoft Entra. Não https://azure-api.net/configuration v2.3+
config.service.endpoint.disableCertificateValidation Define se o gateway auto-hospedado valida o certificado do lado do servidor da API de Configuração. Use validação de certificados em produção. Desative-a apenas para testes, e tenha cautela, pois pode apresentar um risco de segurança. Não false v2.0+
config.service.integration.timeout Define o tempo limite para interagir com a API de Configuração. Não 00:01:40 v2.3.5+

O gateway auto-hospedado suporta várias opções de autenticação para integrar com a API de Configuração. Defina essas opções usando config.service.auth.

Para definir como autenticar, forneça as seguintes informações:

  • Para autenticação baseada em token de gateway, especifique um token de acesso (chave de autenticação) do gateway auto-hospedado no portal do Azure emImplantação>Gateways.
  • Para autenticação baseada em ID do Microsoft Entra, especifique azureAdApp e forneça as configurações de autenticação adicionais config.service.auth.azureAd.

Descoberta e sincronização entre instâncias

Nome Descrição Obrigatório Padrão Disponibilidade
neighborhood.host Nome DNS usado para resolver todas as instâncias de uma implantação de gateway auto-hospedada para sincronização entre instâncias. No Kubernetes, use um Serviço headless para resolver as instâncias. Não N/D v2.0+
neighborhood.heartbeat.port Porta UDP usada para instâncias de uma implantação de gateway auto-hospedada para enviar pulsações para outras instâncias. Não 4291 v2.0+
policy.rate-limit.sync.port Porta UDP usada para instâncias de gateway auto-hospedadas para sincronizar a limitação de taxa em várias instâncias. Não 4290 v2.0+

HTTP

Nome Descrição Obrigatório Padrão Disponibilidade
net.server.http.forwarded.proto.enabled Honra o X-Forwarded-Proto cabeçalho para identificar o esquema para resolver a rota chamada da API (apenas http/https). Não false v2.5+

Integração do Kubernetes

Kubernetes Ingress (prévia)

Importante

O suporte para Kubernetes Ingress é experimental, e o suporte ao Azure não cobre isso. Saiba mais no repositório Kubernetes Ingress GitHub.

Nome Descrição Obrigatório Padrão Disponibilidade
k8s.ingress.enabled Habilite a integração do Kubernetes Ingress. Não false v2.0+
k8s.ingress.namespace Namespace do Kubernetes para observar os recursos de entrada do Kubernetes. Não default v2.0+
k8s.ingress.dns.sufix Sufixo DNS para criar o nome de host DNS para os serviços para os quais enviar solicitações. Não svc.cluster.local v2.4+
k8s.ingress.config.path Caminho para a configuração do Kubernetes (Kubeconfig). Não N/D v2.4+

Métrica

Nome Descrição Obrigatório Padrão Disponibilidade
telemetry.metrics.local Habilite a coleta de métricas locais por meio do StatsD. O valor é uma das seguintes opções: none, statsd. Não none v2.0+
telemetry.metrics.local.statsd.endpoint Ponto de extremidade StatsD. Sim, se telemetry.metrics.local estiver definido como statsd; caso contrário, não. N/D v2.0+
telemetry.metrics.local.statsd.sampling Taxa de amostragem de métricas do StatsD. O valor deve estar entre 0 e 1, por exemplo, 0,5. Não N/D v2.0+
telemetry.metrics.local.statsd.tag-format Formato de marcaçãode exportador do StatsD. O valor é uma das seguintes opções: librato, dogStatsD, influxDB. Não N/D v2.0+
telemetry.metrics.cloud Indique se é necessário ativar métricas de emissão no Azure Monitor. Não true v2.0+
observability.opentelemetry.enabled Indicar se deve ativar métricas de emissão para um coletor OpenTelemetry no Kubernetes. Não false v2.0+
observability.opentelemetry.collector.uri URI do coletor OpenTelemetry para enviar métricas. Sim, se observability.opentelemetry.enabled estiver definido como true; caso contrário, não. N/D v2.0+
observability.opentelemetry.system-metrics.enabled Ative o envio de métricas do sistema, como CPU, memória e coleta de lixo, para o coletor OpenTelemetry. Não false v2.3+
observability.opentelemetry.histogram.buckets Baldes de histogramas para reportar métricas do OpenTelemetry. Formato: "x,y,z,...". Não "5,10,25,50,100,250,500,1000,2500,5000,10000" v2.0+

Registros

Nome Descrição Obrigatório Padrão Disponibilidade
telemetry.logs.std Habilite o registro em log em um fluxo padrão. O valor é uma das seguintes opções: none, text, json. Não text v2.0+
telemetry.logs.std.level Define o nível logarítmico dos logs enviados para o fluxo padrão. Valor é uma das seguintes opções: all, debug, info, warn, error, ou fatal. Não info v2.0+
telemetry.logs.std.color Indique se deve ou não usar toras coloridas no fluxo padrão. Não true v2.0+
telemetry.logs.local Habilite o registro em log local. O valor é uma das seguintes opções: none, auto, localsyslog, rfc5424, journal, json Não auto v2.0+
telemetry.logs.local.localsyslog.endpoint ponto de extremidade localsyslog. Sim, se telemetry.logs.local estiver definido como localsyslog; caso contrário, não. Consulte a documentação do syslog local para obter mais detalhes sobre a configuração. N/D v2.0+
telemetry.logs.local.localsyslog.facility Especifica o código do recurso, localsyslog, por exemplo,7. Não N/D v2.0+
telemetry.logs.local.rfc5424.endpoint ponto de extremidade rfc5424. Sim, se telemetry.logs.local estiver definido como rfc5424; caso contrário, não. N/D v2.0+
telemetry.logs.local.rfc5424.facility Código de instalação por rfc5424, por exemplo, 7 Não N/D v2.0+
telemetry.logs.local.journal.endpoint Ponto de extremidade do diário. Sim, se telemetry.logs.local estiver definido como journal; caso contrário, não. N/D v2.0+
telemetry.logs.local.json.endpoint Ponto de extremidade UDP que aceita dados JSON, especificados como caminho do arquivo, IP:porta ou nome do host:porta. Sim, se telemetry.logs.local estiver definido como json; caso contrário, não. 127.0.0.1:8888 v2.0+

Segurança

Certificados e cifras

Nome Descrição Obrigatório Padrão Disponibilidade
certificates.local.ca.enabled Indicar se o gateway auto-hospedado deve usar certificados locais de CA montados. É necessário executar o gateway auto-hospedado como root ou com o ID de usuário 1001. Não false v2.0+
net.server.tls.ciphers.allowed-suites Lista separada por vírgulas de cifras a serem usadas para conexão TLS entre o cliente API e o gateway autohospedado. Não TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA v2.0+
net.client.tls.ciphers.allowed-suites Lista de cifras separadas por vírgulas a serem usadas para conexão TLS entre o gateway auto-hospedado e o back-end. Não TLS_AES_256_GCM_SHA384,TLS_CHACHA20_POLY1305_SHA256,TLS_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_DHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_DHE_RSA_WITH_CHACHA20_POLY1305_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,TLS_DHE_RSA_WITH_AES_128_GCM_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384,TLS_DHE_RSA_WITH_AES_256_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256,TLS_DHE_RSA_WITH_AES_128_CBC_SHA256,TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA,TLS_DHE_RSA_WITH_AES_256_CBC_SHA,TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA,TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,TLS_DHE_RSA_WITH_AES_128_CBC_SHA,TLS_RSA_WITH_AES_256_GCM_SHA384,TLS_RSA_WITH_AES_128_GCM_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA256,TLS_RSA_WITH_AES_128_CBC_SHA256,TLS_RSA_WITH_AES_256_CBC_SHA,TLS_RSA_WITH_AES_128_CBC_SHA v2.0+
security.certificate-revocation.validation.enabled Ativa ou desativa a validação da lista de revogação de certificados. Não false v2.3.6+

TLS

Nome Descrição Obrigatório Padrão Disponibilidade
Microsoft.WindowsAzure.ApiManagement.Gateway.Security.Backend.Protocols.Tls13 Indica se o gateway permite TLS 1.3 para o backend. Semelhante ao gerenciamento de cifras de protocolo no gateway gerenciado. Não true v2.0+
Microsoft.WindowsAzure.ApiManagement.Gateway.Security.Backend.Protocols.Tls12 Indica se o gateway permite TLS 1.2 para o backend. Semelhante ao gerenciamento de cifras de protocolo no gateway gerenciado. Não true v2.0+
Microsoft.WindowsAzure.ApiManagement.Gateway.Security.Backend.Protocols.Tls11 Indica se o gateway permite TLS 1.1 para o backend. Semelhante ao gerenciamento de cifras de protocolo no gateway gerenciado. Não false v2.0+
Microsoft.WindowsAzure.ApiManagement.Gateway.Security.Backend.Protocols.Tls10 Indica se o gateway permite TLS 1.0 para o backend. Semelhante ao gerenciamento de cifras de protocolo no gateway gerenciado. Não false v2.0+
Microsoft.WindowsAzure.ApiManagement.Gateway.Security.Backend.Protocols.Ssl30 Indica se o gateway permite SSL 3.0 para o backend. Semelhante ao gerenciamento de cifras de protocolo no gateway gerenciado. Não false v2.0+

Nuvens soberanas

A tabela a seguir descreve as configurações que você deve configurar para trabalhar com nuvens soberanas:

Nome Setor Público Azure China Governo dos EUA
config.service.auth.tokenAudience https://azure-api.net/configuration (Padrão) https://azure-api.cn/configuration https://azure-api.us/configuration
logs.applicationinsights.endpoint https://dc.services.visualstudio.com/v2/track (Padrão) https://dc.applicationinsights.azure.cn/v2/track https://dc.applicationinsights.us/v2/track

Como definir as configurações

Arquivo YAML do Kubernetes

Ao implantar o gateway auto-hospedado no Kubernetes usando um arquivo YAML, configure as configurações como pares nome-valor no data elemento do ConfigMap do gateway. Por exemplo:

apiVersion: v1
    kind: ConfigMap
    metadata:
        name: contoso-gateway-environment
    data:
        config.service.endpoint: "contoso.configuration.azure-api.net"
        telemetry.logs.std: "text"
        telemetry.logs.local.localsyslog.endpoint: "/dev/log"
        telemetry.logs.local.localsyslog.facility: "7"

[...]

Gráfico Helm

Quando você usa o Helm para implantar o gateway auto-hospedado no Kubernetes, passe configurações de gráficos como parâmetros para o helm install comando. Por exemplo:

helm install azure-api-management-gateway \
    --set gateway.configuration.uri='contoso.configuration.azure-api.net' \
    --set gateway.auth.key='GatewayKey contosogw&xxxxxxxxxxxxxx...' \
    --set secret.createSecret=false \
    --set secret.existingSecretName='mysecret' \
    azure-apim-gateway/azure-api-management-gateway

Conteúdo relacionado

  • Last updated on