Meridian — API Gateway

Meridian è l’API Gateway della piattaforma. Autentica, autorizza, instrada, aggrega e traccia: nessun servizio applicativo è raggiungibile senza passare da qui.

Due Meridian, due livelli

Il nome indica due artefatti distinti che cooperano ma si versionano e si aggiornano separatamente. È la distinzione più facile da confondere di tutta la piattaforma, e va tenuta chiara perché compare nell’inventario e nei piani di aggiornamento.

Meridian-North — l’API Gateway di prodotto

Gira nel cluster, come deployment. È il gateway delle API applicative: quelle che usano il portale, gli agent, le integrazioni dei clienti.

• Risponde su https://api.<vostro-dominio> (in cloud, https://api.corellix.io).
• Autentica con JWT e chiavi API.
• Applica RBAC e rate limiting.
• Instrada verso Nucleus, Corell!A, Beacon e Vanguard.
• Registra l’audit delle chiamate.

Nell’inventario compare come Meridian-North.

Meridian-South — le API di piattaforma

Gira sul nodo, come servizio systemd (corellix-meridian.service), sotto Kubernetes. Serve le API con cui si amministra l’appliance:

• bootstrap e configurazione iniziale (è ciò che Citadel usa per il wizard);
• stato del cluster e dei nodi;
• operazioni di lifecycle, per conto di CoreLCM;
• gestione dei certificati e della rete.

Ascolta sul nodo e non è esposto direttamente: Citadel gli fa da fronte sulla 8443, CoreCLI lo chiama in locale.

Nell’inventario compare come Meridian-South.

Perché due

Perché i due percorsi non devono incrociarsi. Le API applicative trattano i dati del cliente e sono raggiungibili da tutta la rete; le API di piattaforma comandano l’infrastruttura e devono restare vincolate al nodo e agli amministratori. Tenerli su due gateway diversi rende quella separazione strutturale invece che affidata a una regola di autorizzazione.

Autenticazione delle API applicative

Metodo	Uso
JWT	Sessioni utente. Emesso al login, scadenza 60 minuti, rinnovabile
Chiave API	Integrazioni e automazioni. Generata dal portale, revocabile, con permessi propri
Chiave agent	Riservata a User Agent e Infra Agent, con accesso ai soli endpoint di ingest

Le chiavi API si gestiscono da Sistema → Raccolta dati e da Amministrazione. Ereditano i permessi dell’utente che le crea: una chiave non può fare più di chi l’ha generata.

Rate limiting

I limiti sono per chiamante e per classe di endpoint. Al superamento, il gateway risponde 429 Too Many Requests con l’header Retry-After. Un’integrazione scritta bene lo rispetta invece di ritentare subito.

Documentazione delle API

Su un’installazione con Swagger attivo, l’interfaccia interattiva è su https://api.<vostro-dominio>/swagger. Riferimenti e convenzioni sono in API.