Обзор Azure Service Fabric и его роли в качестве обратного прокси-сервера

Обзор Azure Service Fabric и его роли в качестве обратного прокси-сервера

Azure AD Application Proxy позволяет выполнить безопасную публикацию сервисов, которые используются внутри локальной сети вашей компании, во внешний мир. Для этого вам не нужно выполнять проброс сетевых портов или конфигурировать отдельный балансировщик или Reverse Proxy решение. Все, что вам нужно будет сделать – это выполнить установку небольшого компонента (Application Proxy Connector) и настроить соответствующее приложение в Azure AD. Обо всем этом мы поговорим в соответствующих разделах, в т.ч. поговорим и о требованиях.

Принцип работы Azure AD Application Proxy изображен на схеме ниже.

1. Пользователь переходит по ссылке (endpoint), которая была настроена для доступа к приложению или сервису.
2. Пользователь выполняет аутентификацию в Azure AD и получает токен, который будет использоваться в дальнейшем.
3. С полученным токеном веб браузер пользователя обращается к сервису Applivation Proxy Service, который, в свою очередь, извлекает необходимую ему из токена.
4. Далее запрос отправляется компоненту Application Proxy Connector.
5. Если вы конфигурировали опцию единого входа (single sign-on), тогда Application Proxy Connector выполняет дополнительную аутентификацию в наземной Active Directory от имени пользователя.
6. Application Proxy Connector отправляет запрос серверу приложений (для которого, собственно, и выполнялась настройку публикации).
7. Полученный ответ отправляет назад клиенту (веб браузеру ПК пользователя) через Application Proxy Connector и Application Proxy Service соответственно.

Как видно из описания выше – Azure AD Application Proxy выполняет еще некоторую преаутентификацию. Забегая вперед, скажу, что можно предоставить доступ к приложению только определенным пользователям или группе пользователей. При необходимости можно настроить многофакторную аутентификацию.

на соответствующий раздел официальной документации.

Обзор Azure Service Fabric и его роли в качестве обратного прокси-сервера

Azure Service Fabric - это платформа, которая позволяет создавать, развертывать и управлять микросервисами. Одной из ключевых функций Service Fabric является его способность работать в качестве обратного прокси-сервера.

Принцип работы Service Fabric в качестве обратного прокси-сервера

Service Fabric может работать в качестве обратного прокси-сервера, который принимает входящие запросы от клиентов и направляет их на соответствующие микросервисы. Это позволяет обеспечить безопасность и управляемость доступа к микросервисам.

Когда клиент отправляет запрос на микросервис, Service Fabric проверяет, имеет ли клиент необходимые права доступа. Если права доступа есть, Service Fabric направляет запрос на соответствующий микросервис. Если права доступа отсутствуют, Service Fabric блокирует запрос.

Преимущества использования Service Fabric в качестве обратного прокси-сервера

Использование Service Fabric в качестве обратного прокси-сервера имеет несколько преимуществ:

• Безопасность: Service Fabric обеспечивает безопасность доступа к микросервисам, проверяя права доступа клиентов.
• Управляемость: Service Fabric позволяет управлять доступом к микросервисам, что упрощает администрирование.
• Масштабируемость: Service Fabric позволяет масштабировать микросервисы, что упрощает обработку большого количества запросов.

В сравнении с Azure AD Application Proxy

Azure AD Application Proxy и Service Fabric имеют некоторые сходства в качестве обратного прокси-сервера. Однако, Azure AD Application Proxy предназначен для публикации сервисов, которые используются внутри локальной сети, во внешний мир, тогда как Service Fabric предназначен для управления доступом к микросервисам.

В то же время, Azure AD Application Proxy обеспечивает более широкий спектр функций безопасности, таких как многофакторная аутентификация и управление доступом на основе ролей.

В целом, выбор между Azure AD Application Proxy и Service Fabric зависит от конкретных требований вашего проекта.

Связанные вопросы и ответы:

Что такое обратный прокси-сервер Azure Service Fabric

Википедия определяет балансировку нагрузки так:

В вычислительной технике балансировка нагрузки улучшает распределение рабочих нагрузок по нескольким вычислительным ресурсам: компьютерам, компьютерным кластерам, сетевым подключениям, центральным процессорам или дисковым устройствам. Балансировка нагрузки призвана оптимизировать использование ресурсов, максимально увеличить пропускную способность, минимизировать время отклика и избежать перегрузки отдельных ресурсов. Применение вместо одного компонента нескольких компонентов с балансировкой может повысить надёжность и доступность благодаря получившемуся запасу мощностей. Балансировка нагрузки обычно подразумевает использование специального ПО или оборудования вроде многоуровневого коммутатора или DNS-сервера.

Это определение применимо ко всем аспектам обработки данных, а не только к работе с сетью. Операционные системы используют балансировку для диспетчеризации задач среди нескольких физических процессоров. Контейнерные оркестраторы вроде Kubernetes используют балансировку для диспетчеризации задач среди нескольких вычислительных кластеров. А сетевые балансировщики распределяют сетевые задачи среди доступных бэкендов. Эта статья посвящена только сетевой балансировке.

Иллюстрация 1: сетевая балансировка

На иллюстрации 1 показана упрощённая схема сетевой балансировки. Некоторые клиенты запрашивают ресурсы с некоторых бэкендов. Балансировщик находится между клиентами и бэкендами и выполняет несколько важных задач:

• Обнаружение сервисов . Какие бэкенды доступны? Какие у них адреса (т. е. как балансировщику к ним обращаться)?
• Проверка состояния . Какие бекэнды сейчас работают и готовы обрабатывать запросы?
• Балансировка . Какие алгоритмы нужны для балансировки отдельных запросов среди нормально функционирующих бэкендов?

Правильное использование балансировки в распределённой системе даёт несколько преимуществ:

• Абстрактность имён . Вместо того чтобы каждый клиент знал о каждом бэкенде (обнаружение сервисов), клиенты могут обращаться к балансировщику посредством заранее определённого механизма, и тогда процедуру разрешения имён можно делегировать балансировщику. Заранее определённый механизм включает в себя встроенные библиотеки и хорошо известные DNS/IP/порты. Ниже мы рассмотрим это подробнее.
• Устойчивость к отказам . С помощью проверки состояния и разных алгоритмов балансировщик способен эффективно маршрутизировать данные в обход сбойных или перегруженных бэкендов. То есть оператор может починить сбойный бэкенд на досуге, а не экстренно.
• Снижение стоимости и повышение производительности . Сети распределённых систем редко бывают однородными. Обычно система разбита на несколько сетевых зон и регионов. В рамках зоны сети обычно строятся с недоиспользованием пропускной способности, а между зонами нормой становится переиспользование (в данном случае пере- и недоиспользование означает процентное отношение пропускной способности сетевых карт к ширине канала между роутерами). Умный балансировщик может как можно дольше удерживать трафик запросов внутри зоны, что повышает производительность (меньше задержка) и снижает общие расходы в системе (между зонами намного меньше каналов, и они могут быть более узкими).