softonic/rate-limit-operator

rate-limit-operator

Envoy Proxy的速率限制操作器

镜像概述和主要用途

rate-limit-operator是一个Kubernetes操作器，用于简化基于Envoy Proxy的速率限制配置。通过自定义资源(CR)定义速率限制规则，操作器可自动生成并管理Istio控制平面所需的EnvoyFilter资源，以及Envoy Proxy速率限制系统（https://github.com/envoyproxy/ratelimit%EF%BC%89%E7%9A%84%E5%BF%85%E8%A6%81%E9%85%8D%E7%BD%AE%EF%BC%8C%E5%AE%9E%E7%8E%B0%E5%AF%B9%E6%9C%8D%E5%8A%A1%E6%B5%81%E9%87%8F%E7%9A%84%E7%B2%BE%E7%BB%86%E5%8C%96%E9%80%9F%E7%8E%87%E6%8E%A7%E5%88%B6%E3%80%82

核心功能和特性

• 自定义资源定义(CRD)：提供RateLimit CRD，支持通过YAML配置文件定义速率限制规则
• 自动配置管理：根据CR配置自动生成EnvoyFilter资源，无需手动编写复杂的Envoy配置
• 与Istio集成：适配Istio服务网格，通过VirtualService关联目标服务
• 灵活的速率限制策略：支持基于请求头、目的地集群等多维度的速率限制配置
• 自动发现机制：当未指定目标集群时，可通过VirtualService的HTTP路由自动发现目标服务集群

使用场景和适用范围

• API服务流量控制：限制客户端对API的访问频率，防止过度请求
• 服务资源保护：保护后端服务免受流量峰值影响，确保服务稳定性
• 防止DoS***：通过速率限制减轻***请求对系统的冲击
• 多租户环境：为不同租户或用户设置差异化的访问配额
• Istio服务网格环境：在使用Istio管理服务通信的Kubernetes集群中实施速率限制

使用方法和配置说明

前提条件

• 运行中的Kubernetes集群
• Istio服务网格已部署（用于Envoy代理和服务网格管理）

部署操作器

使用kubectl部署

bash
$ make deploy

公共镜像可在Docker Hub仓库softonic/rate-limit-operator获取。

使用Helm部署

bash
$ make helm-deploy

创建速率限制CR

1. 创建RateLimit自定义资源文件（示例）：

yaml
apiVersion: networking.softonic.io/v1alpha1
kind: RateLimit
metadata:
  finalizers:
  - ratelimit.networking.softonic.io
  name: test
spec:
  destinationCluster: outbound|80||server.nameSpaceTarget.svc.cluster.local
  rate:
  - dimensions:
    - request_header:
        descriptor_key: remote_address
        header_name: x-custom-user-ip
    requestPerUnit: 100
    unit: second
  targetRef:
    apiVersion: networking.istio.io/v1alpha3
    kind: VirtualService
    name: nameVS
    namespace: nameSpaceTarget

2. 应用CR配置：

bash
$ kubectl apply -f config/samples/networking_v1alpha1_ratelimit.yaml

CR配置参数说明

• targetRef：指向Istio VirtualService的引用，用于确定应用速率限制的目标服务
  • apiVersion：VirtualService的API版本（通常为networking.istio.io/v1alpha3）
  • kind：资源类型，固定为VirtualService
  • name：VirtualService名称
  • namespace：VirtualService所在命名空间
• destinationCluster（可选）：Envoy/Istio集群名称，若未指定，操作器将通过VirtualService的HTTP路由自动发现目标集群
• rate：速率限制规则数组，每个规则包含：
  • dimensions：速率限制维度，支持基于请求头的配置
    • request_header：基于请求头的维度
      • descriptor_key：维度描述符键名
      • header_name：请求头名称
  • requestPerUnit：单位时间内允许的请求数
  • unit：时间单位（如second、minute等）

开发环境设置

编译代码并部署所需资源：

bash
$ make generate
$ make run

工作原理

rate-limit-operator通过监听RateLimit CR的创建和更新事件，根据CR配置生成以下资源：

1. Istio EnvoyFilter资源：配置Envoy Proxy的速率限制过滤器
2. Envoy速率限制系统配置：满足https://github.com/envoyproxy/ratelimit%E7%9A%84%E9%85%8D%E7%BD%AE%E8%A6%81%E6%B1%82

操作器流程示意图： !操作器流程图