Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 (ショート版)

895 Views

December 03, 25

スライド概要

Cloud Native Platform Engineering Japan Kickoffでの登壇資料です

maki

@4838066437

スライド一覧

プラットフォームエンジニア/Kubernetes/Golang

またはPlayer版

埋め込む »CMSなどでJSが使えない場合

ダウンロード

関連スライド

誤自宅KaaSの作り方

maki 5K

Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計

maki 3.3K

猫でも分かるUnreal Engineの学び方 - 超初心者向け編 - 2023 v1.0

ue4 ue5 ue-beginner

エピックゲームズジャパン 1.6M

Unreal Engine5 Lumenの仕組みと肝心なところ

ue5 ue-rendering ue-lumen

エピックゲームズジャパン 1.4M

UE5レンダリングフロー総おさらい(2024) 基礎編！[CEDEC+KYUSHU 2024]

ue5 unreal engine ue-rendering

エピックゲームズジャパン 1.2M

Meta XR SDK(V66-74)でQuestアプリを開発

spatial anchor unity quest pro shaperecognizeractivatestate oculus integration transformfeaturestateprovider building blocks transformrecognizeractivestate ovrsemanticclassification jointdeltaprovider ovrscenemanager jointvelocityactivestate オクルージョン sequenceactivestate scene manager ambisonic depth api metaxraudiosource playerlocomotor meta xr sdk quest3 ovrplayercontroller マルチモーダル meta haptics studio direct touch ui meta xr haptics sdk ovrspatialanchor ovrtrackedkeyboard hapticclipplayer fingerfeaturestateprovider hapticclip ワイドモーションモード wmm mruk mr utility kit voice sdk jointrotationactivestate meta horizon os ui set asw application spacewarp ovr metrics tool unityscene manager colocation discovery コロケーション mx ink passthrough camera api hand tracking microgestures webcamtexturemanager passthroughcamerautils cameraviewermanager hand pose selector recorder

あうぜん 1.1M

各ページのテキスト

Introduction 自己紹介松田元輝 (まつだげんき) @maki_644 島根県在住 Kubestronaut https://www.cncf.io/training/kubestronaut/ 2 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

Introduction 今回の前提あなたは家族と共に暮らすプラットフォームエンジニア。あなた優しい伴侶娘: クベ子画像: いらすとや https://www.irasutoya.com/ 4 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

https://www.irasutoya.com/

Introduction 今回の前提あなたは家族と共に暮らすプラットフォームエンジニア。休日の過ごし方は家庭仲良くアプリケーション開発をすること。 5 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

Introduction 今回の前提しかし、クベ子が思春期に入り「パパと同じNamespaceはイヤ！」というようになりました。 ※クベ子(中学生) 6 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

Introduction 今回の前提そこであなたはクベ子に専用のNamespaceを与えることにしました。 7 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

Introduction 今回の前提そこであなたはクベ子に専用のNamespaceを与えることにしました。問題はIngress。親として過干渉はしたくないが、クベ子にアプリケーションの公開を全て任せることに不安なあなた。ああ～、どうにかして基本的なセキュリティを担保しつつ、アプリケーションの公開をクベ子に任せることはできないものか。。。こんな時、イクメンプラットフォームエンジニアまつださえいれば。。。 8 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

Introduction 今回の前提そこであなたはクベ子に専用のNamespaceを与えることにしました。問題はIngress。親として過干渉はしたくないが、クベ子にアプリケーションの公開を全て任せることに不安なあなた。 Gateway API Kuadrant Keycloak で解決してみせましょう 9 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

10.

Contents - 現状の課題とめざしたい姿 - Gateway API概要説明 - デモ - KuadrantとKeycloakの概要説明 - デモ - まとめ 10 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

11.

12.

現状の課題とめざしたい姿現状の課題: - アプリケーションのルーティングや細かいセキュリティ設定はクベ子にやらせたい - ただ、クベ子にIngressの全機能を触らせるのは避けたいめざしたい姿: デフォルトで最低限のセキュリティが担保されてる状態を作りつつ、クベ子がアプリケーションの公開やルーティング、細かいセキュリティの設定を自分でやれるようにする。 12 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

13.

現状の課題とめざしたい姿 (プラットフォームエンジニアリングで置き換えて考える) 現状の課題: プラットフォームチーム - アプリケーションのルーティングや細かいセキュリティ設定はクベ子(プロダクトチーム)にやらせたい - ただ、クベ子(プロダクトチーム)にIngressの全機能を触らせるのは避けたいめざしたい姿: デフォルトで最低限のセキュリティが担保されてる状態を作りつつ、クベ子(プロダクトチーム)がアプリケーションの公開やルーティング、細かいセキュリティの設定を自分でやれるようにする。 13 プロダクトチーム Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

14.

15.

Gateway APIの概要説明 Gateway APIとは Gateway APIはIngressに代わるKubernetesの新しいネットワークAPIで、より柔軟で拡張性の高いトラフィック管理を実現する。 Ingressでは権限分離が難しい - プロダクトチームがIngressを作成する権限を持つ場合、認証がかかっていない状態でアプリケーションを公開される可能性がある。 - 対して、プラットフォームチームがIngressの権限を握ってしまうと、プロダクトチームが細かいルーティングを設定できない。 Gateway APIはロール指向で、プラットフォームチームとプロダクトチームの管理するリソースを分けている。 15 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

16.

Gateway APIの概要説明 Gateway APIの構成要素クライアント Gateway: ロードバランサーをデプロイする。プラットフォームチームが管理する。 HTTPRoute: GatewayからServiceへのルーティングを定義するリソース。プロダクトチームが管理する。リクエストプラットフォームチームがメンテ Gateway プロダクトチームがメンテ HTTP Route 16 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

17.

18.

19.

20.

21.

KuadrantとKeycloakの概要説明クライアント Kuadrant: Gateway APIのGatewayやHTTPRouteに、認証認可、レートリミットなどのポリシーをかけることのできるOSSプロジェクト。 AuthPolicy: GatewayやHTTPRouteそれぞれに対し、認証認可のポリシーを設定することができる。 Authorino: Kuadrantの認証認可エンジン。実際にGatewayへのトラフィックに対して、AuthPolicyに書かれた認証認可ポリシーに従っているか判断する。つまり、Policy Decision Pointとして動作する。リクエストトークン発行リクエスト /w トークンプラットフォームチームがメンテ Auth Policy Gateway 認可 Authorino In Kuadrant トークン検証 Keycloak プロダクトチームがメンテ Auth Policy HTTP Route Keycloak: オープンソースのIDアクセス管理システム。Kuadrantと連携し、APIの認可を提供する。また、トークンの発行を行う。 21 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

22.

23.

デモクライアント Gatewayに対するAuthPolicy リクエスト Gateway APIの機能だけでは、認可がかかっていないため、リクエストが素通りしている状態。デフォルトで最低限のセキュリティが担保されるよう、 Gatewayに対してトークン検証（今回はトークンイントロスペクション）をするAuthPolicyを適用する。 Auth Policy Gateway 認可 Authorino In Kuadrant トークンイントロスペクション Keycloak HTTP Route 23 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

24.

デモクライアント Gatewayに対するAuthPolicy トークン発行リクエストリクエスト /w トークン Auth Policy AuthPolicyの適用対象を指定 Gateway 認可 Authorino In Kuadrant トークンイントロスペクション Keycloak HTTP Route トークン検証の設定 24 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

25.

pappa クライアント kubeko クライアントデモ Gatewayに対するAuthPolicy トークン発行リクエストリクエストリクエスト /w トークン〇 × Auth Policy Gateway Auth Policy HTTP Route /w トークン認可 Authorino In Kuadrant トークンイントロスペクション Keycloak 実はpappaクライアント(パパ)がアクセスしてた kubekoクライアント(クベ子)のみに絞りたい (# ﾟДﾟ) 25 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

26.

pappa クライアント kubeko クライアントデモ HTTPRouteに対するAuthPolicy トークン発行リクエストリクエストリクエスト /w トークン HTTPRouteにクライアントkubekoだけ許可する設定をする。〇 × Auth Policy Gateway Auth Policy HTTP Route /w トークン認可 Authorino In Kuadrant トークンイントロスペクション Keycloak ♪ 26 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

27.

28.

Ending まとめ pappa クライアント kubeko クライアントトークン発行リクエストリクエストリクエスト /w トークン Namespaceの管理をクベ子に移譲しつつ、API公開の基本的なセキュリティを担保することができました。今回のポイント: 〇 × Auth Policy Gateway Auth Policy HTTP Route /w トークン認可 Authorino In Kuadrant トークンイントロスペクション Keycloak – プラットフォームエンジニアリングのようなプラットフォームチームとプロダクトチームの役割を明確に区別したい場合、Gateway APIが有効な手段となる。 – さらに、Kuadrantを使うことで、APIのセキュリティがデフォルトで担保された状態を作ることができる。 28 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

29.

Ending 商標表示 KubernetesはThe Linux Foundationの登録商標です。 KubestronautはThe Linux Foundationの商標です。 KeycloakはThe Linux Foundationの商標です。 KuadrantはThe Linux Foundationの商標です。 EnvoyはThe Linux Foundationの商標です。その他記載の会社名、製品名などは、それぞれの会社の商標もしくは登録商標です。 29 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved

30.

連載記事: Kubernetesで始める実践プラットフォームエンジニアリング @maki_644 ※本資料は大西配列で書かれました。 Cloud Native Platform Engineering Japan Kickoff | Gateway API導入で失敗しない！KuadrantとKeycloakで実現するセキュアバイデフォルト設計 ©Hitachi, Ltd. 2025. All rights reserved