Masz klaster AKS (AKS1) hostujący interfejsy API mikroserwisów, które nasłuchują na niestandardowych portach HTTP. Wdrożysz instancję API Management warstwy Standard (APIM1), aby udostępnić interfejsy API zewnętrznie. Musisz włączyć uwierzytelnianie mTLS między APIM1 a AKS1, minimalizując jednocześnie wysiłek programistyczny i koszty. Co należy zrobić?

Wdrożenie kontrolera ingress na AKS1 jest najlepszym rozwiązaniem. Kontroler ingress, taki jak NGINX Ingress Controller, może terminować ruch TLS (w tym mTLS) i przekazywać go do wewnętrznych usług w klastrze AKS. Pozwala to na centralne zarządzanie certyfikatami i politykami bezpieczeństwa dla wielu mikroserwisów, minimalizując wysiłek programistyczny, ponieważ logika mTLS jest obsługiwana na poziomie ingress, a nie w każdej aplikacji. Jest to również opłacalne, ponieważ wykorzystuje istniejące zasoby klastra. Zaimplementowanie zewnętrznego load balancera na AKS1 nie zapewni możliwości mTLS na poziomie aplikacji i nie jest optymalne kosztowo. Ponowne wdrożenie APIM1 w tej samej sieci wirtualnej co AKS1 poprawiłoby łączność, ale nie rozwiązałoby problemu mTLS bez dodatkowej konfiguracji. Zaimplementowanie usługi ExternalName na AKS1 jest używane do mapowania usługi na zewnętrzną nazwę DNS, a nie do zarządzania ruchem ingress czy mTLS.