إدارة واجهات API · دليل
شبكة الخدمات Service Mesh: متى تحتاجها خدماتكم، ومتى تكفي البوابة
شبكة الخدمات (Service Mesh) طبقة تؤمّن الاستدعاءات التي تجريها الخدمات فيما بينها وتوجّهها وتقيسها، عبر وكيل صغير بجوار كل خدمة ومستوى تحكم يضبطها جميعًا. وهي تحل مشكلة حقيقية في المنصات ذات الخدمات الكثيرة، وتضيف في المقابل تكلفة تشغيل حقيقية. يشرح هذا الدليل بلغة واضحة متى تستحق شبكة الخدمات تكلفتها، ومتى تكفي بوابة API على المدخل، وما معنى mTLS وانعدام الثقة الافتراضية بين الخدمات، وأين تناسب Kong Mesh للجهات في السعودية.
نُشر في 9 دقائق قراءة
الخلاصة للإدارة
- ما هي: طبقة تشفّر الحركة بين خدماتكم وتضبطها وتقيسها، دون تغيير شيفرة تلك الخدمات.
- متى تستحق تكلفتها: حين تكثر الخدمات التي يستدعي بعضها بعضًا، أو يُشترط تشفير كل استدعاء داخلي والتحقق من صلاحيته، أو تتوزع الخدمات على عدة عناقيد ومواقع.
- متى لا تستحقها: حين تكون الخدمات قليلة، أو تكون المشكلة في الحقيقة مع المتصلين من الخارج، وهذا عمل بوابة API.
- أين تناسب Kong: Kong Gateway على المدخل، وKong Mesh، وهي شبكة الخدمات من Kong، بين الخدمات حين تكون الحاجة إليها قائمة.
نظرة سريعة
| السؤال | الجواب |
|---|---|
| الحركة التي تضبطها | الحركة الأفقية (east-west): استدعاءات خدمة لخدمة أخرى داخل منصتكم |
| كيف تعمل | وكيل (proxy) بجوار كل خدمة ينقل حركتها، ومستوى تحكم يعطي كل وكيل قواعده |
| السياسات المعتادة | TLS المتبادل (mTLS)، وأي خدمة يحق لها استدعاء أي خدمة، وإعادة المحاولة، ومهلة الانتظار، وتقسيم الحركة |
| ما لا تغني عنه | بوابة API للمستهلكين من الخارج، والتحقق من الصلاحيات داخل كل خدمة |
| التكلفة الأساسية | منصة إضافية تحتاج إلى تشغيل: وكلاء على كل حمل عمل، وشهادات، وترقيات، ومهارات |
| من إنتركي | تقييم صريح للحاجة، ثم Kong Gateway أو Kong Mesh أو كلاهما، مع الدعم من الرياض |
ما الذي تفعله شبكة الخدمات Service Mesh، بلغة واضحة
حين يُقسَّم التطبيق إلى خدمات كثيرة، لا تعود معظم حركته آتية من الخارج. فقد يصل طلب من تطبيق الجوال إلى خدمة واحدة، فتستدعي هذه خمس خدمات أخرى، ويستدعي كل منها قاعدة بيانات أو خدمة غيرها. وكثيرًا ما تُرسل هذه الاستدعاءات الداخلية نصًا غير مشفّر، ويعيد كل فريق محاولتها بطريقته، وتُقاس بطرق مختلفة أو لا تُقاس أصلًا.
ومعالجة ذلك خدمةً خدمة تعني أن يضيف كل فريق إلى شيفرته التعامل مع الشهادات ومنطق إعادة المحاولة والمقاييس، بلغته البرمجية، وأن يحافظ على تحديثها. أما شبكة الخدمات فتنقل هذا العمل خارج الشيفرة: يعمل وكيل صغير بجوار كل خدمة ويتولى استدعاءاتها الواردة والصادرة، ويحفظ مستوى التحكم القواعد ويرسلها إلى كل وكيل. فيكتب كل فريق خدمته، ويحدد فريق المنصة مرة واحدة كيف تتواصل الخدمات جميعها.
اقرأ المزيد
لماذا يُطرح هذا السؤال في الجهات السعودية
تنقل جهات كثيرة في المملكة أنظمتها الأساسية إلى الحاويات وKubernetes ضمن برامج التحول الرقمي، وغالبًا بعشرات الخدمات التي يملكها عدة فرق وموردين. وصارت مراجعات الأمن تطلب التشفير وضبط الوصول بين الخدمات، لا على المدخل وحده. وتنشر الهيئة الوطنية للأمن السيبراني (NCA) الضوابط التي تُقيَّم عليها كثير من هذه الجهات، وتحديد ما ينطبق منها عليكم وكيفيته يعود إلى فريق الالتزام لديكم. وشبكة الخدمات طريقة من طرق تلبية متطلبات من هذا النوع باتساق، لكنها ليست الطريقة الوحيدة، وليست مطلوبة لذاتها.
شبكة الخدمات أم بوابة API: متى تحتاجون إلى الشبكة، ومتى تكفي البوابة
تضبط بوابة API الحركة الرأسية (north-south)، أي المتصلين من خارج منصتكم إلى واجهاتكم، وتضبط شبكة الخدمات الحركة الأفقية (east-west)، أي استدعاء خدماتكم بعضها بعضًا. فالاثنتان لا تتنافسان على مهمة واحدة، وكثير من المنصات على Kubernetes تشغّلهما معًا. ويقارن مدخل المسرد ما هي بوابة API بين البوابة وموزّع الأحمال وشبكة الخدمات جنبًا إلى جنب. ويجيب الجدول أدناه عن السؤال التالي: هل تحتاج منصتكم إلى الشبكة؟ وهو سؤال يستحق إجابة صريحة، لأن إضافة الشبكة أسهل من إزالتها بعد أن تعتمد عليها الفرق. وصف واحد في العمود الأخير نادرًا ما يكون سببًا لاعتمادها، أما عدة صفوف معًا فغالبًا ما تكون كذلك.
| الوضع | تكفي البوابة غالبًا | تستحق شبكة الخدمات تكلفتها غالبًا |
|---|---|---|
| عدد الخدمات | خدمات قليلة يملكها فريق واحد | عشرات الخدمات يملكها عدة فرق أو موردين |
| مصدر الخطر | المتصلون من الخارج: الشركاء والتطبيقات والجمهور | الاستدعاءات الداخلية: خدمة واحدة مخترقة قد تصل إلى غيرها |
| متطلب التشفير | تقبل مراجعة الأمن لديكم TLS على المدخل | يجب تشفير كل استدعاء بين الخدمات والتحقق من هوية طرفيه |
| قواعد الوصول | من يحق له استدعاء الواجهة من الخارج | أي خدمة يحق لها استدعاء أي خدمة، مع تطبيق ذلك على كل استدعاء داخلي |
| مكان تشغيل الخدمات | عنقود واحد أو مجموعة خوادم واحدة | عدة عناقيد أو مواقع، أو مزيج من Kubernetes والأجهزة الافتراضية |
| الإصدارات | إصدارات كاملة يُتراجع عنها دفعة واحدة | إصدارات تدريجية ترسل جزءًا من الحركة الداخلية إلى نسخة جديدة |
| فريق المنصة | لا يوجد بعد من يتولى منصة إضافية | فريق قادر على تولي شبكة الخدمات وشهاداتها وترقياتها |
إذا وقعت معظم إجاباتكم في العمود الأوسط، فابدؤوا بالبوابة وبأمن جيد على مستوى الخدمات. فشبكة الخدمات التي تُضاف قبل أن تحتاج إليها المنصة تكلفة بلا عائد.
أمن الخدمات المصغّرة: mTLS وانعدام الثقة الافتراضية بين الخدمات
يتيح TLS العادي للمتصل أن يتحقق من الخادم الذي يتواصل معه. أما TLS المتبادل (mTLS) فيتحقق من الطرفين: تقدّم كل خدمة شهادة، فتعرف الخدمة المستقبِلة أي خدمة تستدعيها، وتُشفَّر الحركة في الطريق. وتطبيق mTLS يدويًا يعني إصدار شهادات لكل خدمة وتوزيعها وتجديدها. أما في شبكة الخدمات فيعمل مستوى التحكم جهةً لإصدار الشهادات أو يتصل بجهة قائمة، ويتولى الوكلاء تبادلها، فتصدر الشهادات وتتجدد دون أن تمس الفرق شيفرتها.
اقرأ المزيد
وانعدام الثقة الافتراضية (Zero Trust) يعني هنا أن وجود الطلب داخل الشبكة ليس سببًا للثقة به. فكل استدعاء يحمل هوية، وقاعدة مكتوبة تحدد هل يحق لهذه الهوية إجراء هذا الاستدعاء. وتجعل شبكة الخدمات ذلك عمليًا: فبهويات الخدمات المستمدة من mTLS يستطيع فريق المنصة كتابة قواعد مثل "لا يستدعي خدمة الدفتر إلا خدمة المدفوعات"، فيرفض الوكلاء كل ما عداه.
ما لا يغطيه mTLS
- الصلاحيات داخل الخدمة. تعرف شبكة الخدمات أي خدمة تتصل، لا هل يحق لعميل معيّن رؤية سجل معيّن. وهذا التحقق يبقى في الخدمة نفسها.
- محتوى الطلب. يحمي التشفير البيانات في أثناء نقلها، لكنه لا يمنع خدمة من إعادة بيانات أكثر مما ينبغي. وتتناول صفحة أمن واجهات API هذه الثغرات على مستوى الواجهة.
- الحركة التي لا تمر بالشبكة. أحمال العمل خارج شبكة الخدمات، وقواعد البيانات والأنظمة القديمة التي لا تصلها، تحتاج إلى ضوابط خاصة بها.
روابط ذات صلةصفحة أمن واجهات API
ما تكلفة تشغيل شبكة الخدمات
الفوائد السابقة حقيقية، وكذلك التكلفة. وقبل اعتماد شبكة الخدمات ينبغي أن يكون فريق المنصة مستعدًا لكل مما يلي:
- الموارد. يعمل وكيل بجوار كل حمل عمل ويستهلك من موارد ذلك الحمل معالجًا وذاكرة، وهذا يتراكم في العنقود الكبير.
- زمن الاستجابة. يمر كل استدعاء داخلي بوكيلين. والزيادة صغيرة عادة، لكنها تحتاج إلى قياس على حركتكم، وخاصة في سلاسل الاستدعاءات الطويلة.
- الشهادات. تصبح جهة إصدار الشهادات في الشبكة نظامًا حرجًا، ولمفاتيحها وتجديدها واستعادتها مسؤول محدد.
- الترقيات. لمستوى التحكم وللوكلاء دورة إصدار خاصة بهما، وتحتاج إلى تجربة مسبقة مع ترقيات العنقود.
- تتبّع الأعطال. حين يفشل استدعاء قد يكون السبب الآن قاعدة في الشبكة. فتحتاج الفرق إلى تتبع وسجلات من الوكلاء، وإلى التدريب على قراءتها. وتشرح صفحة التتبع الموزّع كيف يُتتبَّع الاستدعاء عبر الخدمات.
روابط ذات صلةصفحة التتبع الموزّع
قائمة تحقق قبل اعتماد شبكة الخدمات
- تستطيعون سرد الخدمات المشمولة، ومالك كل منها، والخدمات التي تستدعيها كل خدمة.
- المتطلب مكتوب: تشفير بين الخدمات، أو قواعد وصول بينها، أو إصدارات تدريجية، أو عدة عناقيد.
- يمر المستهلكون من الخارج اليوم ببوابة API، فلا يُطلب من شبكة الخدمات أداء عمل البوابة.
- سُمّي فريق منصة يتولى شبكة الخدمات وجهة إصدار شهاداتها وترقياتها.
- قيس استهلاك الوكلاء للموارد وزمن الاستجابة الإضافي في بيئة اختبار بأنماط استدعاءاتكم الفعلية.
- عُرفت أحمال العمل التي لا تنضم إلى الشبكة، مثل بعض قواعد البيانات والأنظمة القديمة، ولها ضوابطها.
- تبدأ قواعد الوصول بين الخدمات متساهلة، ثم تُشدَّد خدمةً خدمة بعد قراءة السجلات قبل كل تغيير.
- إعدادات الشبكة معرّفة ومحفوظة بنظام لإدارة الإصدارات، وتمر تغييراتها بالمراجعة.
- يصل التتبع والمقاييس والسجلات من الوكلاء إلى منصة المراقبة لديكم قبل الإنتاج.
- لكل خدمة تنضم إلى الشبكة طريق واضح للتراجع.
أين تناسب Kong Mesh، وأين لا تناسب
Kong هي منصة واجهات البرمجة التي تطبّقها إنتركي. يتولى Kong Gateway المدخل، وتصف Kong منتج Kong Mesh بأنه شبكة خدمات للمؤسسات تساعد على ربط أحمال العمل وإدارتها وتأمينها عبر البيئات، مبنية على Kuma، وهو مشروع مفتوح المصدر أطلقته Kong.
| الحاجة | في Kong | ما ينبغي معرفته |
|---|---|---|
| متصلون من الخارج يصلون إلى واجهاتكم | Kong Gateway | المستهلكون والمفاتيح وحدود المعدل والتحقق من الطلبات على المدخل |
| الحركة الداخلة إلى عنقود Kubernetes | Kong Ingress Controller | يشغّل Kong Gateway مدخلًا للعنقود، ويُضبط عبر موارد Kubernetes |
| التشفير وقواعد الوصول بين الخدمات | Kong Mesh | تذكر Kong أن انعدام الثقة الافتراضية متاح من البداية عبر التحقق من الهوية والصلاحيات والتشفير، ويتضمن توثيقها سياسة لـ mTLS |
| خدمات على Kubernetes وعلى أجهزة افتراضية | Kong Mesh | تذكر Kong أنه يعمل على Kubernetes وفي السحابة وفي مقر الجهة وفي الحاويات وعلى الأجهزة الافتراضية |
| عدة عناقيد أو مواقع | Kong Mesh | تصف Kong الربط بين المناطق وتوجيهًا يفضّل الخدمات القريبة عبر العناقيد |
| خدمات قليلة يملكها فريق واحد | Kong Gateway وحده | شبكة الخدمات غالبًا غير لازمة بعد |
أين لا تناسب. لا تحدد شبكة الخدمات ما يحق للعميل رؤيته، ولا تُصلح خدمة غير آمنة، ولا تغني عن حصر الواجهات والقواعد المكتوبة التي تبدأ بها إدارة واجهات البرمجة. وتتيح Kong أيضًا تثبيت Kong Mesh وإدارته عبر Mesh Manager في Kong Konnect، وملاءمة الإدارة المستضافة لتصنيف بياناتكم قرار نتخذه معكم، كما نفعل للبوابة في صفحة بوابة API. ونتحقق من سياسات Kong Mesh وإصداراتها وترخيصها في توثيق Kong الحالي قبل التصميم، ونشغّلها بالانضباط نفسه الذي تصفه صفحة تطبيق Kong للبوابة. والخدمات التي لم تنتقل بعد إلى الحاويات تأتي أولًا، وتتناول صفحة Kubernetes هذا الانتقال، ويتناول دليل متحكم الدخول في Kubernetes مدخل العنقود.
ما الذي يحدد التكلفة والمدة
لا نقدّم رقمًا ثابتًا قبل أن نرى المنصة. فالتجربة الأولى على بضع خدمات في عنقود اختبار تستغرق أسابيع، أما إدخال كل الخدمات إلى الشبكة بقواعد وصول صارمة فيأخذ وقتًا أطول ويجري على دفعات. وما يحدد الجهد: عدد الخدمات والعناقيد المشمولة، وهل تعمل اليوم على Kubernetes، وعدد الفرق المالكة لها، وهل توجد خدمات على أجهزة افتراضية أيضًا، ومدى صرامة قواعد الوصول المطلوبة، وهل تصل المراقبة اليوم إلى الخدمات.
اقرأ المزيد
وتُسعَّر تراخيص Kong، حين تحتاجون إلى Kong Mesh أو ميزات Kong Gateway Enterprise، بشروط Kong، في بند مستقل عن عمل إنتركي.
الدعم من الرياض. يعمل مهندسو إنتركي من الرياض بالعربية والإنجليزية. ويمكن أن يعمل مستوى التحكم في الشبكة ووكلاؤها على خوادمكم أو في منطقة سحابية داخل المملكة، فتبقى الحركة بين الخدمات وشهاداتها حيث تشترط قواعد إقامة البيانات لديكم. ويعمل الفريق نفسه على البوابة وعنقود Kubernetes ومنصة المراقبة، فلا تتوزع مسؤولية الاستدعاء الواحد بين عدة موردين حين يحدث عطل، ويجد فريقكم من يجيبه بالعربية عن سبب رفض استدعاء أو تأخره.
كيف تساعدكم إنتركي في شبكة الخدمات
-
رسم الاستدعاءات.
أي الخدمات تستدعي أيها، من بيانات التتبع أو من الإعدادات، وما الذي يحمله كل استدعاء.
-
قرار صريح.
البوابة وحدها، أو شبكة الخدمات، أو كلتاهما، بحسب جدول القرار أعلاه ومتطلباتكم المكتوبة.
-
التجربة الأولى.
بضع خدمات في عنقود اختبار، مع قياس استهلاك الوكلاء وزمن الاستجابة على حركتكم.
-
التطبيق على دفعات.
التشفير أولًا، ثم تشديد قواعد الوصول خدمةً خدمة، والإعدادات معرّفة على هيئة شيفرة.
-
التشغيل.
الشهادات والترقيات وبيانات الوكلاء يتولاها فريقكم، أو تُدار ضمن نطاق خدمات مُدارة مكتوب.
أسئلة يطرحها العملاء عن شبكة الخدمات
متى تبدأ منصة الخدمات المصغّرة بالحاجة إلى شبكة خدمات؟
لا يوجد عدد ثابت من الخدمات. المؤشر مجموعة عوامل معًا: خدمات كثيرة يملكها فرق مختلفة، ومتطلب مكتوب بتشفير كل استدعاء داخلي والتحقق من صلاحيته، وخدمات موزعة على عدة عناقيد أو مواقع. أما مع خدمات قليلة يملكها فريق واحد، فالبوابة وأمن جيد على مستوى الخدمات يكفيان غالبًا.
هل يمكن أن تحل شبكة الخدمات محل بوابة API لدينا؟
ليس على نحو جيد. فشبكة الخدمات تعرف الخدمات، والبوابة تعرف المستهلكين من الخارج ومفاتيحهم وخططهم وحدودهم. وبعض شبكات الخدمات تتيح مدخلًا على أطرافها، لكن تسجيل الشركاء والحدود لكل مستهلك والتحقق من الطلبات تبقى من عمل البوابة.
كم يبطئ الوكيل المجاور (sidecar) كل استدعاء؟
يمر كل استدعاء داخلي بوكيلين، فيزيد زمنه قليلًا، صغيرة عادة في الاستدعاء الواحد وأوضح في سلاسل الاستدعاءات الطويلة. وتتوقف على حركتكم والقواعد المطبقة، ولذلك نقيسها في تجربة أولى قبل أي التزام.
هل يعمل Kong Mesh على خوادمنا داخل السعودية، ومنها الأجهزة الافتراضية؟
تذكر Kong أن Kong Mesh يعمل على Kubernetes وفي السحابة وفي مقر الجهة وفي الحاويات وعلى الأجهزة الافتراضية. وهذا يتيح تشغيل مستوى التحكم والوكلاء على بنيتكم أو في منطقة سحابية داخل المملكة. وتتيح Kong أيضًا إدارة مستضافة عبر Konnect، وقبولها قرار يعود إلى تصنيف بياناتكم.
كيف يُرخَّص Kong Mesh، وما الذي يحدد تكلفة مشروع شبكة الخدمات في المملكة؟
تُسعَّر تراخيص Kong Mesh بشروط Kong، ونؤكدها مع Kong بحسب نطاقكم. ويُسعَّر عمل إنتركي على حدة، ويتبع عدد الخدمات والعناقيد والفرق، وهل تدخل الأجهزة الافتراضية في النطاق، ومدى صرامة قواعد الوصول.
كم يستغرق إدخال خدماتنا إلى شبكة الخدمات؟
التجربة الأولى على بضع خدمات تستغرق أسابيع. أما إدخال كل الخدمات فيأخذ وقتًا أطول ويجري على دفعات، لأن كل فريق يحتاج إلى فحص خدمته وهي تعمل داخل الشبكة، ولأن قواعد الوصول تُشدَّد خدمةً بعد أخرى. ونقدّم تقديرًا للمدة بعد رسم الاستدعاءات بين خدماتكم.
التالي
اقرأ أيضًا
الخطوة التالية
تحققوا معنا من حاجة خدماتكم إلى شبكة خدمات
أخبرونا بعدد الخدمات التي تشغّلونها، وأين تعمل، ومن يملكها، وما تطلبه مراجعة الأمن لديكم بين الخدمات. وسنقول لكم هل تكفي البوابة أم تستحق شبكة الخدمات تكلفتها، وكيف تناسب Kong.
أو مباشرةً
+966-11-2180999 [email protected]أبراج التعاونية، البرج الشمالي، الطابق السابع، طريق الملك فهد، العليا، ص.ب. ٥٦٨٣٥، الرياض ١١٥٦٤، المملكة العربية السعودية