Was ist SaaS-API-Ratenbegrenzung?

Die​‍​‌‍​‍‌ SaaS-API einer cloudbasierten Anwendung begrenzt die Anzahl der API-Aufrufe an einen Dienst für einen bestimmten Zeitraum pro Client-Gerät, Benutzer, IP, Schlüssel oder Mandanten. Der Client ist so konfiguriert, dass er eine bestimmte Anzahl von Anfragen sendet. Diese Art der API-Begrenzung hat Auswirkungen auf die Kapazität der Dienstinfrastruktur, da sie auch die Einschränkung des Benutzerzugriffs unterstützt und beim Cloud-Ausgabenmanagement hilft.

Innerhalb von Ratenbegrenzungsmechanismen ist die Überwachung von ‘429 Too Many Requests’-Nachrichten eine gängige Praxis, die auftritt, wenn Server diese an Clients senden, nachdem deren Anfrage-Schwellenwert erreicht wurde. In vielen Fällen verwenden Server den “Retry-After”-Header, um Clients über die empfohlene Verzögerung zwischen erneuten Anfragen zu informieren.

Hier erfahren Sie, was Ratenbegrenzung spezifisch leistet:

• Es ist damit verbunden, potenzielle Systembetriebsprobleme zu adressieren, die durch ein hohes Anfragevolumen aus einer unvorhergesehenen Quelle entstehen können.
• Es verhindert Aktivitäten wie Web-Scraping oder Brute-Force-Angriffe.
• Es berücksichtigt die Kosten, die durch Autoscaling oder die Ressourcennutzung durch nachgeschaltete Systeme entstehen.

1. Befolgen Sie die Anweisungen in den Retry-After-Headern.
2. Versuchen Sie exponentielles Backoff mit einer zufälligen Komponente.
3. “Reihen Sie” die Anfragen ein oder verteilen Sie die Last bei hoher Gleichzeitigkeit.
4. Sie können clientseitig einen Token Bucket für Verkehrs- und Warteschlangenmanagement implementieren, für Workloads, die ​‍​‌‍​‍‌Parallelität erfordern.

Eine typische Lösung umfasst verschiedene Ebenen: API-Gateway, Edge-Security-Plattform und ein Dienststeuerungs- oder Quotasystem. Die folgenden Muster können anwendbar sein:

• Schlüsselbasierte Grenzwerte
• Mandantenbasierte Grenzwerte
• Endpunktspezifische Grenzwerte
• Abgestufte Pläne

In Fällen, in denen die Ratenbegrenzung zu einer höheren Anzahl von Kundenkontakten für das Supportpersonal beiträgt, ist es ratsam, die Grundlage für die Anfragelimitierungen zu erläutern. Den Anbietern sollte geraten werden:
· Eindeutige HTTP-Statuscodes verwenden.
· „Retry-After“- und „rate-limit“-Header anzeigen.
· Die in den Dokumenten festgelegten Limits sind den Entwicklern mitzuteilen.
· Wo machbar, die Nutzungsstatistiken des Kunden oder dessen verbleibendes Kontingent anzeigen.

Ratenbegrenzung verwaltet Missbrauch, Kosten und Fairness, doch ihre Wirksamkeit bei der Lösung von Problemen in verteilten Systemen kann Grenzen haben. Die Integration der Ratenbegrenzung mit anderen Kontrollen verdient Beachtung:

• Kontingente
• WAF oder Bot-Schutz
• Authentifizierung und Idempotenz
• Überwachung