レート制限アルゴリズム

レート制限は、一定期間内にクライアントが送信できるリクエスト数に上限を設けます。API を悪用、大量のリクエストを送るクライアント、偶発的なトラフィック急増から保護し、ユーザー間で容量を公平に分配できます。

.NET 7 以降、ASP.NET Core には Microsoft.AspNetCore.RateLimiting の正式なレート制限ミドルウェアが組み込まれており、4 つの組み込みアルゴリズムを利用できます。

固定ウィンドウアルゴリズムでは、固定された時間区間ごとに N 件のリクエストを許可します。区間が終了すると、カウンターは 0 にリセットされます。

単純な方法ですが、ウィンドウの境界では短時間に実効レートが 2 倍になる可能性があります。

スライディングウィンドウは、ウィンドウをセグメントに分割し、期限切れのセグメントを順に移動させることで境界の問題を緩和します。そのため、任意の連続したウィンドウに対して制限が適用されます。

トークンバケットは、トークンを格納するバケットを保持します。リクエストごとに 1 つ消費し、トークンは一定のレートで補充されます。バケットサイズまでの短いバーストを許可しながら、長期的な平均レートを制限します。

同時実行数リミッターは、時間単位あたりではなく、同時に処理されているリクエスト数に上限を設けます。負荷の高い処理を保護するのに適しています。

各リミッターでは、制限を超えたリクエストをすぐに拒否せず、キューに入れることができます。QueueLimit でキューのサイズを設定し、QueueProcessingOrder で公平性（古いリクエストを先に処理するか、新しいリクエストを先に処理するか）を設定します。

目的に合ったアルゴリズムを選択します。

• 固定ウィンドウ: 最も単純で、多くのケースに十分です。
• スライディングウィンドウ: より滑らかで、境界でのバーストを回避します。
• トークンバケット: 制御されたバーストを許可します。
• 同時実行数: レートではなく、同時負荷を制限します。

制限はパーティションキー（通常はユーザー、API キー、IP）ごとに適用されるため、1 つの大量利用クライアントが全員分のクォータを使い果たすことはありません。1 つの共有パーティションを使うと、すべてのトラフィックがまとめて制限されます。

拒否されたリクエストには HTTP 429 Too Many Requests が返されます。適切に動作する API では、クライアントが再試行するタイミングを示す Retry-After ヘッダーも返します。

これらは関連する概念です。レート制限は短期間の頻度に上限を設け、クォータはより長い期間（1 日または 1 か月）の合計数に上限を設け、スロットリングは拒否するのではなく処理を遅くします。このミドルウェアが対象とするのはレート制限です。

各アルゴリズムの理解度を確認します。

レート制限の概念を学びました。

• 4 つのアルゴリズムは、固定ウィンドウ、スライディングウィンドウ、トークンバケット、同時実行数です。
• トークンバケットはバーストを許可し、同時実行数は同時負荷に上限を設けます。
• 制限はパーティションキーごとに適用され、キューによって超過分を平滑化します。
• 拒否されたリクエストには 429 と Retry-After が返されます。

次は、ミドルウェアの構成です。