Introduction
Kong的Admin API为Services, Routes, Plugins, Consumers, and Credentials的管理和配置提供了一个RESTful接口。因为这个API允许对Kong进行完全控制，所以确保这个API能够安全的访问非常重要。本文描述了保护管理API的几种可能方法。
网络层访问限制
Minimal Listening Footprint（很少听足迹）
默认情况下，从它的0.12.0版本开始，Kong将只接受来自本地接口的请求，这在它的默认admin_listen值中指定:
admin_listen = 127.0.0.1:8001
如果您更改此值，请始终确保将侦听占用最小化，以避免将管理API暴露给第三方，这可能严重损害整个Kong集群的安全性。例如，通过使用0.0.0.0:8001这样的值，避免将Kong绑定到所有接口。
Layer 3/4 Network Controls层3/4网络控制
如果管理API必须公开在本地主机接口之外，则网络安全最佳实践要求尽可能限制网络层访问。考虑这样一种环境:Kong在私有网络接口上监听，但只能被IP范围的一小部分访问。在这种情况下，基于主机的防火墙(例如iptables)在限制输入流量范围方面非常有用。例如:
# assume that Kong is listening on the address defined below, as defined as a
# /24 CIDR block, and only a select few hosts in this range should have access
grep admin_listen /etc/kong/kong.conf
admin_listen 10.10.10.3:8001
# explicitly allow TCP packets on port 8001 from the Kong node itself
# this is not necessary if Admin API requests are not sent from the node
iptables -A INPUT -s 10.10.10.3 -m tcp -p tcp --dport 8001 -j ACCEPT
# explicitly allow TCP packets on port 8001 from the following addresses
iptables -A INPUT -s 10.10.10.4 -m tcp -p tcp --dport 8001 -j ACCEPT
iptables -A INPUT -s 10.10.10.5 -m tcp -p tcp --dport 8001 -j ACCEPT
# drop all TCP packets on port 8001 not in the above IP list
iptables -A INPUT -m tcp -p tcp --dport 8001 -j DROP
我们鼓励使用其他控件，如在网络设备级别应用的类似acl，但不属于本文的范围。
Kong API Loopback(API回送)
Kong的路由设计允许它充当管理API本身的代理。通过这种方式，可以使用Kong本身为管理API提供细粒度的访问控制。这样的环境需要引导一个新服务，该服务将admin_listen地址定义为服务的url。例如:
# assume that Kong has defined admin_listen as 127.0.0.1:8001, and we want to
# reach the Admin API via the url `/admin-api`
curl -X POST http://localhost:8001/services
--data name=admin-api
--data host=localhost
--data port=8001
curl -X POST http://localhost:8001/services/admin-api/routes
--data paths[]=/admin-api
# we can now transparently reach the Admin API through the proxy server
curl localhost:8000/admin-api/apis
{
"data":[
{
"uris":[
"/admin-api"
],
"id":"653b21bd-4d81-4573-ba00-177cc0108dec",
"upstream_read_timeout":60000,
"preserve_host":false,
"created_at":1496351805000,
"upstream_connect_timeout":60000,
"upstream_url":"http://localhost:8001",
"strip_uri":true,
"https_only":false,
"name":"admin-api",
"http_if_terminated":true,
"upstream_send_timeout":60000,
"retries":5
}
],
"total":1
}
From here, simply apply desired Kong-specific security controls (such as basic or key authentication, IP restrictions, or access control lists) as you would normally to any other Kong API.
Custom Nginx Configuration
Kong作为一个HTTP守护进程与Nginx紧密耦合，因此可以使用定制的Nginx配置集成到环境中。通过这种方式，具有复杂安全/访问控制需求的用例可以使用Nginx/OpenResty的全部功能来构建服务器/位置块，以便在必要时容纳管理API。这允许此类环境利用本地Nginx授权和身份验证机制、ACL模块等，此外还提供可在其上构建自定义/复杂安全控制的OpenResty环境。
有关将Kong集成到定制Nginx配置中的更多信息，请参见Custom Nginx configuration & embedding Kong。
Role Based Access Control(基于角色的访问控制)
此功能仅在企业版中可用。
企业用户可以配置基于角色的访问控制，以确保对管理API的访问安全。RBAC允许基于用户角色和权限模型对资源访问进行细粒度控制。用户被分配到一个或多个角色，每个角色又拥有一个或多个授予或拒绝访问特定资源的权限。通过这种方式，可以加强对特定管理API资源的细粒度控制，同时扩展以允许复杂的、特定于大小写的使用。
如果您不是Kong企业客户，您可以通过以下方式contacting us查询我们的企业报价