.NET Core API网关Ocelot(十一)【管理】

系统管理员 2021-07-05 00:34 422阅读 0赞

Ocelot支持在运行时通过一个认证的Http API修改配置。有两种方式对其验证， 使用Ocelot的内置`IdentityServer`（仅用于向管理API验证请求）或将管理API验证挂接到您自己的`IdentityServer`中。

如果要使用管理API，您需要做的第一件事就是引入相关的NuGet软件包。

Install-Package Ocelot.Administration

这将使管理API所需的一切减少。

## 提供你自己的`IdentityServer` ##

挂接到你自己的`IdentityServer`，你只需要添加一下代码到你的`ConfigureServices` 方法中。

public virtual void ConfigureServices(IServiceCollection services)
    { 
        Action<IdentityServerAuthenticationOptions> options = o => { 
                // o.Authority = ;
                // o.ApiName = ;
                // etc....
            };
    
        services
            .AddOcelot()
            .AddAdministration("/administration", options);
    }

您现在需要从你的`IdentityServer`获取令牌，并在后续请求`Ocelot`的管理API时使用。

这个功能是对问题 228 的实现。这个功能很有用，因为`IdentityServer`认证中间件需要`IdentityServer`的URL。 如果您使用内置`IdentityServer`，则可能无法获得Ocelot URL。

## 内置IdentityServer ##

管理API使用您从Ocelot请求的持票人令牌进行身份验证。这是由我已经使用了几年的非常了不起的Identity Server项目提供的。 您可以去看一下。

为了启用管理部分，您需要做一些操作。 首先将此添加到您的初始化文件`Startup.cs`中。

管理路径可以是任何值，显然不能使用将要通过`Ocelot`路由的`url`，因为这是行不通的。管理功能使用`asp.net cor`e的`MapWhen`功能，并且所有到`{root}/administration`的请求将被发送到那里，而不是Ocelot中间件。

`secret`是`Ocelot`内置`IdentityServer`用于验证对管理API请求的客户端密钥。你可以随意填写！

public virtual void ConfigureServices(IServiceCollection services)
    { 
        services
            .AddOcelot()
            .AddAdministration("/administration", "secret");
    }

为了使管理API起作用，Ocelot / IdentityServer必须能够调用自身进行验证。 这意味着如果不是默认值，则需要将Ocelot的基本URL添加到全局配置（`http://localhost:5000`）。 请注意，如果您使用的是诸如docker之类的主机来托管Ocelot，则它可能无法回调至`localhost`等，并且您需要知道在这种情况下对`docker`网络的处理方式。 无论如何，可以按照以下步骤进行。

如果要在本地在其他主机和端口上运行。

"GlobalConfiguration": { 
       "BaseUrl": "http://localhost:55580"
     }

或者如果Ocelot是通过dns公开的

"GlobalConfiguration": { 
       "BaseUrl": "http://mydns.com"
     }

现在，如果您使用上述配置选项并想要访问API，可以使用解决方案中名为`ocelot.postman_collection.json`的`postman`脚本来更改Ocelot配置。 显然，如果Ocelot运行在不同与`http://localhost:5000`的URL上，则需要改一下。

这些脚本向您展示了如何从ocelot请求`bearer`令牌，然后使用它来获取现有配置和修改配置。

如果您在群集中运行多个`Ocelot`，则需要使用证书对用于访问管理API的`bearer`令牌签名。

为了做到这一点，您需要为集群中的每个`Ocelot`再添加两个的环境变量。

OCELOT_CERTIFICATE

用于签名令牌的证书路径。 证书必须是`X509`类型，显然`Ocelot`要能够访问它。

OCELOT_CERTIFICATE_PASSWORD

证书的密码。