API Gateway

API Gateway trong hệ thống ngân hàng

API Gateway là một server đóng vai trò điểm vào duy nhất (single entry point) cho hệ thống microservices, thay thế việc client gọi trực tiếp hàng chục service rời rạc. Đây là thành phần bắt buộc trong kiến trúc microservices của các ngân hàng số như Timo, Cake by VPBank, hoặc các fintech như MoMo, ZaloPay, VNPay theo tiêu chuẩn Open API.

Chức năng cốt lõi

• Routing & Load Balancing: Phân phối request đến service phù hợp, cân bằng tải giữa các instance. Ví dụ: request POST /api/v1/transfer được route đến Transfer Service với thuật toán Round Robin hoặc Least Connection.
• Authentication & Authorization: Xác thực JWT token, OAuth 2.0, kiểm tra quyền truy cập theo vai trò (RBAC) tích hợp với hệ thống IAM của ngân hàng.
• Rate Limiting: Giới hạn 1000 request/giây/IP cho API chuyển tiền, chống DDoS và lạm dụng theo Thông tư 17/2019/TT-NHNN.
• Request/Response Transformation: Chuyển đổi format giữa client (mobile/web) và internal service, loại bỏ trường nhạy cảm trước khi trả về.
• Aggregation: Tổng hợp dữ liệu từ nhiều service thành một response duy nhất (ví dụ: trang chủ app gồm thông tin tài khoản + lịch sử + khuyến mãi).
• Logging & Monitoring: Ghi log tập trung, tích hợp ELK Stack, Prometheus để theo dõi hiệu năng thời gian thực.

Công nghệ phổ biến

• Kong Gateway: Mã nguồn mở, dùng plugin mở rộng (OAuth, rate-limit, logging), phù hợp hạ tầng hybrid.
• AWS API Gateway: Quản lý API cho hệ thống trên AWS, tích hợp Lambda, phù hợp ngân hàng triển khai cloud-native.
• Spring Cloud Gateway: Dùng cho hệ thống Java Spring Boot - phổ biến tại các ngân hàng Việt Nam như ACB, MBBank.
• Apigee (Google): Giải pháp doanh nghiệp của Google Cloud, hỗ trợ Open Banking theo chuẩn PSD2.

Ví dụ tại ngân hàng

App ngân hàng số Cake by VPBank sử dụng API Gateway để điều phối hơn 200 API nội bộ. Khi khách hàng chuyển tiền, Gateway xác thực JWT trong 50ms → kiểm tra rate limit → route đến Transfer Service → trả về kết quả trong tổng thời gian < 200ms. Theo dự thảo Open Banking của NHNN năm 2024, API Gateway là hạ tầng bắt buộc để kết nối với bên thứ ba một cách an toàn và chuẩn hóa.