4. 准入门禁概念：什么是准入门禁（Gateway/Auth Proxy），在日志检索中的作用与设计原则

在跨集群日志检索架构中，准入门禁（Gateway / Auth Proxy） 是位于客户端与后端日志存储/查询引擎之间的统一入口层。它并非简单的反向代理，而是集身份认证、请求路由、流量控制、审计日志于一体的安全中间件。在 Prometheus 生态与日志检索场景下，准入门禁承担着“统一鉴权、请求分发、安全隔离”的核心职责。

4.1 准入门禁的核心定义

准入门禁是一个无状态的代理服务，所有外部查询请求必须经过它才能到达后端的日志存储集群（如 Loki、Elasticsearch、ClickHouse 等）。它通常以 Sidecar 或独立 Deployment 的形式部署在集群边缘，作为南北向流量的唯一入口。

4.2 准入门禁在日志检索中的作用

在跨集群日志检索架构中，准入门禁解决了三个核心问题：

1. 统一鉴权与租户隔离：不同业务线、不同环境（生产/预发/测试）的日志存储在同一套后端集群时，准入门禁确保用户只能查询自己有权访问的日志流。
2. 跨集群透明路由：用户无需感知日志数据分布在哪个集群，准入门禁根据请求中的 cluster 标签或 tenant 字段自动路由到正确的后端。
3. 安全防护与限流：防止未授权访问、SQL/LogQL 注入、大范围扫描查询（如 {__name__=~".+"}）对后端造成过载。

4.3 准入门禁的设计原则

设计一个生产可用的准入门禁，需要遵循以下五项核心原则：

4.4 准入门禁的请求处理流程

一个典型的日志查询请求经过准入门禁的完整生命周期如下：

1. 接收请求：客户端发起 HTTP/gRPC 请求，携带认证凭证（如 Bearer ）。
2. 身份认证：准入门禁验证 有效性（签名、过期时间、颁发者）。
3. 权限校验：从 中提取用户角色/租户信息，与请求中的日志流标签进行匹配。
4. 请求改写：在请求头中注入用户身份上下文（如 X-Tenant-ID），供后端做二次校验。
5. 路由转发：根据请求中的 cluster 参数或 DNS 解析，选择对应的后端集群地址。
6. 限流检查：检查该用户/租户的当前 QPS 是否超过阈值，超过则返回 429 Too Many Requests。
7. 审计记录：异步写入审计日志（查询语句、时间、结果行数、响应状态）。
8. 返回响应：将后端返回的日志结果透传给客户端，并记录响应延迟指标。

4.5 准入门禁的典型配置示例

以下是一个基于 Envoy 或 Nginx 风格的准入门禁配置片段，展示如何实现基于 的认证与路由：

# 准入门禁路由规则示例（YAML 风格）
gateway:
  listen: ":8080"
  auth:
    type: jwt
    jwks_url: "https://auth.example.com/.well-known/jwks.json"
    required_claims: ["sub", "tenant"]
  rate_limit:
    per_user: 100  # 每秒最多 100 次查询
    per_tenant: 500
  routes:
    - match:
        cluster: "prod"
        tenant: "platform"
      backend:
        address: "loki-prod.internal:3100"
        timeout: 30s
    - match:
        cluster: "staging"
        tenant: "*"
      backend:
        address: "loki-staging.internal:3100"
        timeout: 60s
  audit:
    log_file: "/var/log/gateway/audit.log"
    fields: ["user", "query", "timestamp", "response_size"]