Secure Gateway

Secure Gateway は、Roboflow Deployment サーバーに必要なルートを企業の DMZ にプロキシし、モデルの重みとコンテナイメージをローカルにキャッシュします。

Secure Gateway は、Roboflow API とモデルの重みに対するプロキシです。Roboflow Inference Server をインターネットからファイアウォールで隔離する場合に使用します。これは次の後継です License Server さらにモデルの重みとコンテナイメージをローカルにキャッシュするため、推論サーバーの群が制御された単一の送信ポイントを共有できます。

このページでは基本事項を扱います。完全な設定と運用のリファレンスについては、次を参照してください Secure Gateway マニュアル.

前提条件

• Docker Engine 20.10 以降、または Kubernetes v1.24 以降

• api.roboflow.com と repo.roboflow.com にアクセスできるホスト

• ポート 80 が利用可能で、TLS はゲートウェイの前面にあるロードバランサーまたはコンテナ内で終端されます

• 4GB 以上のメモリ

• S3 バケット、またはキャッシュ用の 50GB 以上のローカルディスク

Secure Gateway の使用

アクセスできるマシン上で https://api.roboflow.com および https://repo.roboflow.com (およびポート 80 がプライベートネットワーク内で実行中の Inference Server に開いている状態で）、Secure Gateway コンテナを pull します:

docker pull repo.roboflow.com/roboflow-edge/secure-gateway:latest

次の latest タグは最新リリースを追跡します。本番環境、特にエアギャップ環境では、代わりに特定のバージョンを固定して、アップグレードが意図的かつ再現可能になるようにします。たとえば repo.roboflow.com/roboflow-edge/secure-gateway:0.2.0.

ローカルディスクキャッシュで実行します:

docker run -d --name secure-gateway -p 80:80 --restart unless-stopped \\
    -v gateway-cache:/var/cache/secure-gateway \\
    repo.roboflow.com/roboflow-edge/secure-gateway:latest

実行中であることを確認します:

curl http://localhost/health

ローカルディスクではなく S3 にキャッシュするには、 CACHE_S3_BUCKET および CACHE_S3_REGION 環境変数を設定します。インスタンスまたは IAM ロールを使用するには、認証情報は未設定のままにします。

TLS 証明書

デフォルトではゲートウェイはプレーン HTTP で待ち受け、TLS は前面のロードバランサーで終端します。ゲートウェイ自体から HTTPS を配信するには、証明書と秘密鍵をコンテナにマウントし、両方を設定します TLS_CERT_FILE および TLS_KEY_FILE。その後、ゲートウェイは設定されたポートで HTTPS を提供します:

docker run -d --name secure-gateway -p 443:443 --restart unless-stopped \\
    -e PORT=443 \\
    -e TLS_CERT_FILE=/etc/ssl/certs/gateway.crt \\
    -e TLS_KEY_FILE=/etc/ssl/private/gateway.key \\
    -v /path/to/certs:/etc/ssl:ro \\
    -v gateway-cache:/var/cache/secure-gateway \\
    repo.roboflow.com/roboflow-edge/secure-gateway:latest

両方 TLS_CERT_FILE および TLS_KEY_FILE は受信 HTTPS を有効にするために必要であり、それぞれ PEM エンコードされたファイルを指します。

ゲートウェイの outbound トラフィックが Zscaler などの企業向け TLS 検査プロキシを通過する場合は、 TLS_CA_BUNDLE をそのプロキシの CA バンドルに設定して、ゲートウェイが api.roboflow.com と repo.roboflow.com への接続を信頼できるようにします:

-e TLS_CA_BUNDLE=/etc/ssl/certs/corporate-ca.pem

Inference Server の接続

各 Inference Server を SECURE_GATEWAY 環境変数でゲートウェイに向けます。スキームなしで、ゲートウェイのホスト名または IP アドレスに設定します。これにより Inference Server は、Roboflow API 呼び出しとモデル重みのダウンロードをゲートウェイ経由でルーティングし、インターネットに直接到達しません。

sudo docker run --net=host \\
    --env SECURE_GATEWAY=10.0.1.1 \\
    roboflow/inference-server:cpu

ゲートウェイが 80 以外のポートで待ち受ける場合は、たとえば次のようにポートを含めます SECURE_GATEWAY=10.0.1.1:8080。Inference Server はこのアドレスのゲートウェイに HTTP で接続するため、ホストとポートに Inference Server のネットワークから到達できることを確認してください。

外向きのアクセスが必要なのは api.roboflow.com と repo.roboflow.com へ接続するゲートウェイだけです。Inference Server を起動したら、モデルを実行して、リクエストがゲートウェイのアクセスログに表示されることを確認します。

従来の LICENSE_SERVER 変数は、 SECURE_GATEWAYのエイリアスとして引き続き受け付けられます。そのため、既存のデプロイメントはそのまま動作します。これは非推奨で、2026 年第 3 四半期末に削除予定です。

キャッシュ

Secure Gateway は、コンテンツの更新頻度に応じた階層で、各レスポンスを初回ダウンロード時にキャッシュします。コンテンツアドレス指定のコンテナ blob とモデルの重みは最も長く保持され、変更可能な API レスポンスはより短い期間保持されます。その後のどの Inference Server からのリクエストもキャッシュから提供されるため、帯域幅の使用量が減り、フリート全体でコールドスタートも抑えられます。