Microgateway 5.0
Das neue Release bringt Verbesserungen in Sicherheit und Betrieb: Step-up-Authentifizierung für OIDC, ICAP-Integration für Inline-Malware-Scanning, OpenTelemetry-Tracing für durchgängige Sichbarkeit von Requests sowie CEL-basierte CRD-Validierung, die den Validating Webhook ersetzt und damit Betriebsaufwand senkt.
Gleichzeitig bereitet Sie Microgateway auf die nächsten Schritte im Kubernetes-Networking vor: Ingress NGINX wird bis März 2026 eingestellt und die Community bewegt sich klar in Richtung Gateway API. Airlock Microgateway ist dafür bereit und stärkt zusätzlich Ihre langfristige Kryptografie, auch mit Blick auf Post-Quantum-Szenarien wie «harvest now, decrypt later».
Kubernetes Ingress ist eingefroren und Ingress NGINX läuft aus – Microgateway ist bereit
Die Kubernetes SIG Network und das Security Response Committee haben die Einstellung des Ingress NGINX Controllers bis März 2026 angekündigt (Quelle: Kubernetes-Blog).
Die Zukunft heisst Kubernetes Gateway API.
Airlock Microgateway hat die offiziellen Conformance-Tests bereits mit Version 4.4 bestanden und seither sein Funktionsspektrum deutlich ausgebaut. Wir beteiligen uns aktiv an der Weiterentwicklung des Standards. Gemeinsam mit Herstellern wie Google, Microsoft, Red Hat und Isovalent bringen wir unsere Expertise ein, unter anderem beim neuen BackendTLSPolicy-Feature in Gateway API 1.4 (siehe Gateway API 1.4 Release Ankündigung).
Airlock Microgateway ist die bisher einzige Kubernetes-native WAAP-Lösung mit:
- Gateway-API-Support
- nativer OIDC-RP-Integration
- starken Deny Rules
- Red Hat OpenShift Zertifizierung
Kurz: eine zukunftssichere Plattform für API- und Microservice-Security.
Post Quantum Cryptography – Schutz vor «Harvest now, decrypt later»
Angreifer sammeln heute verschlüsselte Daten, um sie später mit Quantenrechnern zu entschlüsseln. Microgateway 5.0 adressiert dieses als «Harvest now, decrypt later» bekannte Risiko mit wichtigen Neuerungen, die Ihre Systeme auch gegen zukünftige Quantenangriffe resistent machen:
- Secure by default: PQC-fähige KEM-Gruppen (Key Encapsulation Mechanisms) sind standardmässig aktiv.
- Hybride Key Exchanges: Klassische und Post-Quantum-Algorithmen werden kombiniert. Dadurch bleibt die Verbindung auch dann sicher, wenn ein einzelnes Verfahren künftig gebrochen werden sollte.
- Reporting: Sie sehen im Logging transparent, welche Clients bereits PQC-fähige Gruppen verwenden. TLS-Key-Exchange-Gruppen werden in TLS-SESS-START geloggt und stehen zusätzlich als ENV-Cookies und Rewrite-Variablen zur Verfügung.
- Performance: Die Einführung von PQC führt auf derselben Hardware zu keinen relevanten Performance-Einbussen.
- Breite Kompatibilität: Chromium-Browser wie Chrome und Edge unterstützen PQC bereits. Apple aktiviert die Verfahren automatisch mit iOS/macOS 26. Firefox bietet PQC via Konfigurationsschalter an.
Seit Anfang 2024 wurden diese PQC-Funktionalitäten gemeinsam mit Kunden und Partnern in PoCs erprobt. Die gewonnenen Erkenntnisse sind direkt in das Produkt eingeflossen.
Weiterführende Informationen finden Sie in unserem Blog-Artikel.
OIDC Step-up-Authentifizierung für risikobasierte Zugriffskontrolle
Microgateway ermöglicht es, für sensible Pfade und Aktionen ein höheres Authentifizierungsniveau zu verlangen, zum Beispiel für Admin-Oberflächen, Member-Bereiche oder risikoreiche Transaktionen.
- Setzen Sie starke Authentifizierung nur dort durch, wo sie nötig ist.
- Konfigurieren Sie sie direkt entlang der bestehenden Access-Control-Policies.
- Verhindern Sie Redirect-Loops, wenn der Benutzer das geforderte Authentifizierungsniveau nicht erfüllen kann.
- Nutzen Sie eine standardkonforme Umsetzung mit acr_values oder indem sichergestellt wird, dass der angeforderte Scope ausgestellt wird.
Step-up-Authentifizierung lässt sich mit jedem OIDC-Provider konfigurieren, der diesen Standard unterstützt.
ICAP-Support blockiert Malware, bevor sie Ihre Webanwendung erreicht
Microgateway kann HTTP-Requests zur Inspektion an einen externen ICAP-Server übergeben, basierend auf dem Internet Content Adaptation Protocol (RFC 3507).
- Blockieren Sie Malware, indem Sie einen externen Antivirus-Scanner via ICAP integrieren.
- Halten Sie Deployments schlank und skalierbar, indem Sie Scanning an einen dedizierten ICAP-Service auslagern.
- Setzen Sie Security-Policy inline am Microgateway durch, indem Sie ICAP-basierte Security-Services anbinden.
- Integrieren Sie Microgateway über eine standardbasierte Schnittstelle in Ihre bestehende Malware-Scanning-Infrastruktur.
Das Anbinden Ihres ICAP-Scanning-Services an Microgateway blockiert Malware, bevor sie Ihre Workloads erreicht.
Tracing-Support für End-to-End-Transparenz von Requests
Microgateway kann Traces senden, damit Sie einen einzelnen Request durchgängig über Pods und Services hinweg verfolgen können, standardbasiert über OpenTelemetry-kompatible Backends.
- Troubleshooten Sie schneller, weil Sie sehen, welcher Hop fehlgeschlagen ist und wo Latenz entsteht.
- Gewinnen Sie Performance-Einblicke durch Spans, die Timing und Abhängigkeiten erfassen und Bottlenecks sowie langsame Komponenten sichtbar machen.
- Integrieren Sie es in Ihren bestehenden Observability-Stack dank Kompatibilität mit dem OpenTelemetry-Ökosystem.
- Vermeiden Sie Vendor Lock-in durch einen breit etablierten Industriestandard.
Mit Tracing-Support ersetzen Sie das Rätselraten anhand von Logs durch End-to-End-Traces, die zeigen, wo Fehler entstehen und wo Zeit verloren geht.
Validierung der Common Expression Language (CEL) in CRD
Microgateway 5.0 validiert seine Kubernetes Custom Resources neu mit CEL-Validierungsregeln direkt im CRD-Schema, statt sich auf einen Validating Admission Webhook zu stützen.
Durch den Ersatz des Validierungs-Admission-Webhooks durch CEL-Regeln im CRD reduziert Microgateway 5.0 den Betriebsaufwand. Es muss keine Webhook-Komponente mehr ausgeführt und gewartet werden. Da der Webhook wegfällt, ist der Cert-Manager keine Voraussetzung mehr für die Bereitstellung von Microgateway.
Der Wechsel auf CEL-basierte Validierung vereinfacht das Deployment und reduziert den Betriebsaufwand spürbar.
Erste On-site Trainings jetzt verfügbar – News aus der Airlock Academy
In den vergangenen Monaten haben wir die Airlock Academy mit brandneuem Microgateway-Content ausgebaut, damit Teams schneller produktiv werden können. Diese zwei Highlights machen es einfacher, mit Airlock Microgateway zu starten, zu lernen und es sicher auszurollen.
On-site Training 2026: Unsere ersten On-site Trainings 2026 sind jetzt zur Anmeldung offen. Die nächsten Termine finden Sie hier: airlock.com/services/academy/airlock-microgateway-connaisseur
Neue Self-Study Labs: In 7 praxisnahen Labs können Sie die Funktionen von Airlock Microgateway Schritt für Schritt kennenlernen. Probieren Sie es aus!
Das neue Release bietet eine Vielzahl von Verbesserungen für mehr Sicherheit, Flexibilität und einfache Integration. Wir freuen uns auf Ihre Anregungen und Ihr Feedback, um die Entwicklung des Microgateways voranzutreiben!
Airlock Microgateway 5.0 Release-Video
In unserem Release-Video erhalten Sie alle Details zu Airlock Microgateway 5.0