求支持基于JWT中client-id限流的Kubernetes API网关

Kong 网关（可满足需求） #

Kong可通过插件组合或自定义插件实现该能力：

• 先使用oauth2或jwt插件验证Azure颁发的令牌，解析出azp字段（即client-id）。
• 若用消费者组限流，可通过配置将azp声明值与Kong的consumer关联：比如利用jwt插件的claims_to_identify参数，把azp映射为消费者标识，后续给对应消费者/组配置rate-limiting插件即可。
• 更灵活的方式是开发轻量自定义插件，直接提取azp作为限流维度，无需手动维护消费者映射。

Istio（基于现有Envoy架构扩展） #

如果不想替换当前Envoy网关，可借助Istio增强限流能力：

• 配置Istio的JWT验证规则，完成Azure令牌的校验并提取azp声明。
• 在RateLimit资源中，将azp声明作为限流的关键维度，针对不同client-id设置对应的SLA阈值，同时可结合API路径做精细化控制。

Tyk 网关 #

Tyk原生支持基于JWT声明的限流：

• 开启JWT验证功能，配置解析Azure令牌中的azp声明。
• 创建API时，在限流策略中选择“基于令牌声明”，指定azp作为限流标识，直接为不同的client-id配置差异化的速率限制。

Apigee Edge #

Apigee通过策略组合实现该需求：

• 添加JWT Verify策略解析Azure令牌，将azp声明存入自定义变量。
• 配置Quota策略，将配额的统计维度设置为该变量，即可实现基于client-id的限流，还能针对不同API路径设置独立的SLA规则。

内容的提问来源于stack exchange，提问作者Pravin Kumar