检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
数，保护后端服务。 访问控制 访问API的IP地址和账户，您可以通过设置IP地址或账户的黑白名单来拒绝/允许某个IP地址或账户访问API。 签名密钥 签名密钥用于后端服务验证API网关的身份，在API网关请求后端服务时，保障后端服务的安全。 调试API 验证API服务的功能是否正常可用。
图1 前端自定义认证示意图 使用自定义认证调用API的流程如下图所示： 图2 自定义认证调用API 自定义认证依赖函数服务。如果当前Region没有上线函数服务，则不支持使用自定义认证。 操作步骤 在FunctionGraph中开发函数。 下面以python2.7语言为例，函数代码需要满足如下条件：
API网关服务所有权限。拥有该权限的用户可以使用API网关服务的所有功能。 系统策略 无。 APIG ReadOnlyAccess API网关服务的只读访问权限。拥有该权限的用户只能查看API网关服务的各类信息。 系统策略 无。 示例流程 图1 给用户授权API网关服务权限流程 创建用户组并授权
断路器策略是API网关在后端服务出现性能问题时保护系统的机制，支持通过熔断降级的方式保护后端服务。 身份认证策略支持通过AKSK、Token等多种方式进行服务认证，支持用户通过函数自定义API访问认证逻辑，支持对后端服务进行证书校验，支持签名密钥用于后端服务验证API网关的身份。 VPC通道（负载通道）
审计与日志 审计 云审计服务（Cloud Trace Service，CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、合规审计、资源跟踪和问题定位等常见应用场景。 用户开通云审计服务后，系统将开始记录APIG资源
支持的监控指标 功能说明 本节定义了API网关服务上报云监控服务的监控指标的命名空间，监控指标列表和维度定义，用户可以通过云监控服务提供管理控制台或API接口来检索API网关服务产生的监控指标和告警信息。 命名空间 SYS.APIC 监控指标 表1 监控指标说明 指标ID 指标名称
访问次数。 独立域名可分为内网域名和公网域名两种： 内网域名：部署在云服务平台内的业务系统，可以使用内网域名访问API。 公网域名：部署在云服务平台外的业务系统，可以使用公网域名访问API。 您也可以使用系统分配的调试域名（子域名）访问API分组内的API，该调试域名唯一且不可修
API网关（APIG）是为企业和开发者提供的高性能、高可用、高安全的云原生网关服务，融合安全、负载均衡、流量入口治理、微服务流量治理、运维等多项能力，帮助企业轻松实现API安全开放、API高并发调用和入口流量、微服务流量精细化治理，简单、快速、低成本、低风险地实现内部系统集成和业务能力开放变现。 图说APIG 进入控制台
身份认证与访问控制 身份认证 服务认证：APIG提供AKSK、Token等多种方式进行服务认证，只允许授权的访问。 自定义认证：APIG支持用户以函数自定义API认证方式，丰富鉴权逻辑。 证书校验：APIG支持对后端服务进行证书校验。 身份认证：APIG提供签名密钥进行后端访问身份认证。
绑定签名密钥 功能介绍 签名密钥创建后，需要绑定到API才能生效。 将签名密钥绑定到API后，则API网关请求后端服务时就会使用这个签名密钥进行加密签名，后端服务可以校验这个签名来验证请求来源。 将指定的签名密钥绑定到一个或多个已发布的API上。同一个API发布到不同的环境可以绑
Mock自定义返回码：后端服务响应的状态码。 Mock返回结果：后端服务响应的Body信息，JSON格式。 响应头参数：后端服务响应的Header参数。 HTTP&HTTPS：把后端服务请求转发给指定HTTP&HTTPS后端服务。 负载通道：是否使用负载通道访问后端服务。如果选择“使用”，您需要提前创建负载通道。
添加一个API，API即一个服务接口，具体的服务能力。 API分为两部分，第一部分为面向API使用者的API接口，定义了使用者如何调用这个API。第二部分面向API提供者，由API提供者定义这个API的真实的后端情况，定义了API网关如何去访问真实的后端服务。API的真实后端服务目前支持四种类
创建用于后端自定义认证的函数 操作场景 如果您需要使用一种认证机制对接多个不同的外部认证系统，实现对于后端服务的保护，您可以通过API网关中的后端自定义认证实现此功能。在使用后端自定义认证对后端请求进行认证授权前，您需要先在FunctionGraph创建一个函数，通过函数定义您所
如表1所示，包括了API网关的所有系统角色和策略。 表1 API网关的系统角色或策略 系统角色/策略名称 描述 类别 依赖关系 APIG Administrator API网关服务的管理员权限。拥有该权限的用户可以使用专享版和共享版API网关服务的所有功能。 系统角色 如果在操作过程中涉及其他服务资源的创
用户Token。通过调用IAM服务获取用户Token接口获取（响应消息头中X-Subject-Token的值）。 响应参数 状态码： 200 表4 响应Body参数 参数 参数类型 描述 size Integer 本次返回的列表长度 total Long 满足条件的记录数 features Array
API网关除了将传统的服务作为后端服务外，还可以将微服务集群作为后端服务进行开放。API网关后端对接CCE集群后，可以自动进行微服务发现，根据负载均衡策略将流量路由到微服务容器中，同时支持微服务的灰度发布。 函数工作流服务开放 API网关可以将无服务器服务（即函数工作流服务）作为后端服务开放给合
租户创建一个签名密钥，并将签名密钥与API进行绑定，则API网关在请求这个API时，就会使用绑定的签名密钥对请求参数进行数据加密，生成签名。当租户的后端服务收到请求时，可以校验这个签名，如果签名校验不通过，则该请求不是API网关发出的请求，租户可以拒绝这个请求，从而保证API的安全性，避免API被未知来源的请求攻击。
流量控制可限制单位时间内API的被调用次数，保护后端服务。 访问控制 访问API的IP地址和账户，您可以通过设置IP地址或账户的黑白名单来拒绝/允许某个IP地址或账户访问API。 签名密钥 签名密钥用于后端服务验证API网关的身份，在API网关请求后端服务时，保障后端服务的安全。 插件策略 跨域资源共享策略说明
租户创建一个签名密钥，并将签名密钥与API进行绑定，则API网关在请求这个API时，就会使用绑定的签名密钥对请求参数进行数据加密，生成签名。当租户的后端服务收到请求时，可以校验这个签名，如果签名校验不通过，则该请求不是API网关发出的请求，租户可以拒绝这个请求，从而保证API的安全性，避免API被未知来源的请求攻击。
支持的监控指标 功能说明 本节定义了API网关服务上报云监控服务的监控指标的命名空间，监控指标列表和维度定义，用户可以通过云监控服务提供管理控制台或API接口来检索API网关服务产生的监控指标和告警信息。 命名空间 共享版：SYS.APIG API网关监控指标 表1 API网关共享版支持的监控指标
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
