Application Delivery Management

作为 API 代理服务器的 NetScaler ADM

February 6, 2024

投稿者:

除了能够接收有关其自身管理和分析功能的 NITRO REST API 请求外，NetScaler Application Delivery Management (NetScaler ADM) 还可以充当其托管实例的 REST API 代理服务器。REST API 客户端可以向 NetScaler ADM 发送 API 请求，而不是直接向托管实例发送 API 请求。NetScaler ADM 可以区分它必须响应的 API 请求和必须原封不动地转发到托管实例的 API 请求。

作为 API 代理服务器，NetScaler ADM 为您提供以下好处：

验证 API 请求。NetScaler ADM 根据已配置的安全和基于角色的访问控制 (RBAC) 策略对所有 API 请求进行验证。NetScaler ADM 还具有租户感知能力，可确保 API 活动不会跨越租户边界。
集中审核。NetScaler ADM 维护与其托管实例相关的所有 API 活动的审核日志。
会话管理。NetScaler ADM 使 API 客户端不必维护与托管实例的会话的任务。

NetScaler ADM 如何作为 API 代理服务器工作

如果希望 NetScaler ADM 将请求转发到托管实例，则可以将 API 客户端配置为在 API 请求中包含以下任何一个 HTTP 标头：

标题值	说明
_MPS_API_PROXY_MANAGED_INSTANCE_NAME	托管实例的名称。
_MPS_API_PROXY_MANAGED_INSTANCE_IP	托管实例的 IP 地址。
_MPS_API_PROXY_MANAGED_INSTANCE_ID	托管实例的 ID。
_MPS_API_PROXY_TIMEOUT	NITRO API 请求的超时值。以秒为单位设置超时值。当您设置代理超时时，ADM 将等待指定的持续时间，然后再超时请求。
_MPS_API_PROXY_MANAGED_INSTANCE_用户名	用于访问托管 ADC 实例的用户名。
_MPS_API_PROXY_MANAGED_INSTANCE_密码	访问托管 ADC 实例的密码。
_MPS_API_PROXY_MANAGED_INSTANCE_SESSID	访问托管实例的会话 ID。

注意

在“设置”>“管理”>“系统配置”>“基本设置”中，如果选择了 提示实例登录凭据，请确保配置托管实例的用户名和密码。或者，您还可以指定实例会话 ID。

存在这些 HTTP 标头中的任何一个可帮助 NetScaler ADM 将 API 请求识别为它必须转发给托管实例的 API 请求。标头的值有助于 NetScaler ADM 识别必须将请求转发到的托管实例。

下图中说明了此流程：

Device-API

如上图所示，当请求中出现其中一个 HTTP 标头时，NetScaler ADM 按如下方式处理请求：

在不修改请求的情况下，NetScaler ADM 会将请求转发到实例 API 代理引擎。
实例 API 代理引擎将 API 请求转发至验证程序，并将 API 请求的详细信息记录在审核日志中。
验证程序确保请求没有违反配置的安全策略、RBAC 策略、租赁边界等。它会执行额外的检查，例如检查以确定托管实例是否可用。

如果 API 请求有效且可以转发到托管实例，NetScaler ADM 会标识由实例会话管理器维护的会话，然后将请求发送到托管实例。

注意：

确保禁用“提示实例登录凭据”选项。请执行以下操作：

导航到 Settings（设置）> Administration（管理）。

在 系统配置中，选择 系统、时区、允许的 URL 和当日消息。

如何将 NetScaler ADM 用作 API 代理服务器

以下示例显示了 API 客户端向 IP 地址为 192.0.2.5 的 NetScaler ADM 服务器发送的 REST API 请求。需要 NetScaler ADM 将未更改的请求转发到 IP 地址为 192.0.2.10 的托管实例。所有示例都使用 _MPS_API_PROXY_MANAGED_INSTANCE_IP 标头。

在发送 NetScaler ADM API 请求之前，API 客户端必须：

登录 NetScaler ADM
获取会话 ID
在后续的 API 请求中包含会话 ID。

    POST /nitro/v1/config/login
    Content-Type: application/json

    {
        "login": {
            "username":"nsroot",
            "password":"nsroot"
         }
    }
<!--NeedCopy-->

NetScaler ADM 使用包含会话 ID 的响应来响应登录请求。以下示例响应正文显示了会话 ID：

{

  "errorcode": 0,

  "message": "Done",

  "operation": "add",

  "resourceType": "login",

  "username": "***********",

  "tenant_name": "Owner",

  "resourceName": "nsroot",

  "login": [

    {

      "tenant_name": "Owner",

      "permission": "superuser",

      "session_timeout": "36000",

      "challenge_token": "",

      "username": "",

      "login_type": "",

      "challenge": "",

      "client_ip": "",

      "client_port": "-1",

      "cert_verified": "false",

      "sessionid": "##D2BF9C5F40E5B2E884A9C45C89F0ADE24DA8A8169BE6358D39F5D471B73D",

      "token": "b2f3f935e93db6a"
    }

  ]

}
<!--NeedCopy-->