caapim/gateway Docker 镜像 - 轩辕镜像

Layer7 API Gateway Docker镜像技术文档

1. 镜像概述和主要用途

Layer7 API Gateway（原CA API Gateway）是一款XML防火墙和服务网关，用于控制Web服务如何向外部客户端应用暴露和被访问。该镜像提供了Gateway的容器化部署形式，支持在Docker环境中快速部署具备安全控制、流量管理和服务集成能力的API网关，适用于企业级API生命周期管理和SOA架构中的服务治理场景。

2. 核心功能和特性

• 全面安全控制：提供服务级认证、授权、密钥管理、凭证管理、数据完整性与机密性保障、威胁防护（含SOAP附件病毒扫描集成）等。
• 流量与协议管理：支持请求路由、协议转换、数据转换、 schema验证、内容检查、SLA执行等。
• 集成与可扩展性：通过GUI-based Policy Manager配置管理，可集成现有PKI、身份认证、SSO、联邦和MOM基础设施，复用企业现有安全和消息传递架构。
• 监控与审计：提供详细日志记录、访问审计和运行时监控功能，支持合规性管理。

3. 使用场景和适用范围

• 企业API安全网关：控制外部客户端对内部Web服务的访问，防止未授权访问和数据泄露。
• SOA架构集成：作为服务集成点，实现不同服务间的协议转换、数据转换和安全控制。
• API生命周期管理：支持API发布、版本控制、流量限制和访问审计，适用于API开发者门户后端。
• 外部合作伙伴接入：管理第三方合作伙伴对内部服务的访问，确保安全合规。

4. 版本标签说明

4.1 最新稳定版本标签

4.2 版本说明

• CR命名变更：从Gateway 11.1版本开始，次要版本不再使用CR命名，MPP版本采用日期戳标签（如11.1.1_20250131表示2025年1月MPP）。
• 基础镜像变更：11.0 CR2及以上版本基于Red Hat Universal Base Image (ubi9-minimal)，替代原CentOS基础镜像。
• 实验性标签：earlyaccess为预览版镜像，用于评估新功能，不支持生产环境，请勿用于生产工作负载。

5. 月度平台补丁（MPP）说明

月度平台补丁（MPP）用于保持网关更新，修复最新OS级漏洞。新的MPP补丁镜像适用于网关的最新版本（含最新累积发布版CR，如可用）。若当前使用基础版本或早期CR版本，需升级至最新CR版本以获取当前MPP补丁。

6. 网关镜像部署最佳实践

6.1 使用私有Docker镜像仓库

为生产环境专用网关镜像设置私有Docker镜像仓库，确保组织完全控制镜像内容，避免因Layer7向公共caapim/gateway仓库推送修改而影响生产网关。

6.2 使用静态日期戳版本标签

若需使用公共仓库镜像以保持版本更新，强烈建议使用静态日期戳版本标签（如11.1.3_20250929），而非动态标签（如latest），以防止动态标签导致的不可预见变更，确保部署过程可控且一致。

7. 使用方法和配置说明

7.1 基本使用流程

容器网关的详细配置说明请参考官方文档：配置容器网关。

7.2 Docker部署示例

7.2.1 基本运行命令

bash
docker run -d \
  --name layer7-gateway \
  -e ACCEPT_LICENSE=true \
  -p 8080:8080 \
  -p 8443:8443 \
  caapim/gateway:11.1.3_20250929

说明：ACCEPT_LICENSE=true表示接受End User License Agreement (EULA)，必须设置此环境变量才能启动容器。

7.2.2 使用私有仓库示例

bash
# 拉取公共镜像至本地
docker pull caapim/gateway:11.1.3_20250929
# 标记镜像为私有仓库地址
docker tag caapim/gateway:11.1.3_20250929 private-registry.example.com/layer7/gateway:11.1.3_20250929
# 推送至私有仓库
docker push private-registry.example.com/layer7/gateway:11.1.3_20250929
# 从私有仓库运行
docker run -d -e ACCEPT_LICENSE=true --name gateway private-registry.example.com/layer7/gateway:11.1.3_20250929

8. 许可信息

Layer7 API Gateway为商业软件，使用前需购买商业许可。通过设置环境变量ACCEPT_LICENSE=true，表示您拥有有效的商业许可，并已阅读且接受End User License Agreement (EULA)。

如需了解Broadcom API全生命周期管理产品套件，访问：[***]

9. 支持的Docker版本

容器网关支持的平台和版本详情，请参考：容器网关平台支持。

Docker daemon升级请参考：Docker安装文档；OpenShift服务器升级请参考：OpenShift Origin安装文档。

10. 用户反馈与技术文档

10.1 用户反馈

如遇问题或有疑问，请联系Broadcom支持：[***]

10.2 技术文档

访问Broadcom-Layer7技术文档中心查看完整在线文档。