MSE 云原生网关迁移工具可以评估源网关的配置，并将支持的域名、来源、服务、实例配置、消费者和路由等迁移到云原生 API 网关。本文介绍工具的适用范围、迁移流程、资源对应关系和自动迁移边界。下文将 MSE 云原生网关称为源网关，将云原生 API 网关称为目标网关。
适用场景
云原生 API 网关是 MSE 云原生网关的产品升级形态。二者共享一致的技术内核（Envoy），迁移的核心是将您在 MSE 云原生网关上的配置与流量，承接到云原生 API 网关。
迁移工具适用于将 MSE 云原生网关普通实例标准版或专业版迁移至云原生 API 网关专享实例。工具入口位于 MSE 控制台的 云原生网关 > 迁移至云原生 API 网关。请以当前实例所在地域的控制台入口为准；入口不可见时，联系技术支持确认可用范围。
迁移范围
本节按资源类型说明源网关配置与目标配置的映射关系，以及自动迁移范围和兼容性差异。“自动迁移”表示工具可转换符合要求的配置，实际结果以任务评估和执行详情为准；“部分支持”表示部分配置无法自动迁移，或迁移后存在行为差异。资源迁移成功不代表其附加策略和插件已全部迁移，未自动迁移但业务必需的配置需在切流前补齐并验证。
支持的源实例类型
源网关配置 | 目标配置 | 是否支持工具迁移 | 注意事项 |
普通实例标准版、普通实例专业版 | 云原生 API 网关专享实例 | 支持 | 选择同一地域、同一 VPC 内运行正常的目标实例。源实例版本和可复用的负载均衡决定切流方式；目标规格需根据业务容量自行选择 |
Serverless | - | 不支持 | 当前创建迁移任务时仅支持普通实例标准版和专业版。请以控制台可选实例和任务校验结果为准 |
请仔细评估目标网关的容量，包括不限于性能指标，规格配额等；云原生 API 网关容量说明参见容量说明。
域名配置
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
自定义域名 | 域名 | 自动迁移 | 迁移工具会创建或复用目标端同名域名；云原生 API 网关域名可跨实例复用；域名与路由的关联关系随路由配置迁移 |
默认系统域名 | - | 不自动迁移 | 系统域名不复制到目标端；仅绑定系统域名的路由不自动迁移，如需迁移需额外绑定自定义域名 |
域名证书 | 域名证书 | 自动迁移 | 通过数字证书管理服务统一引用 |
域名配置-TLS安全策略 | 域名配置-TLS安全策略 | 自动迁移 | 支持域名HTTPS与强制 HTTPS、TLS 版本与加密套件、mTLS等配置迁移，HTTPS 域名需具有有效的服务端证书引用；开启 mTLS 时需具有客户端 CA 证书。切流前验证证书权限、有效期及双向认证 |
域名配置-HTTP2 | 域名配置-HTTP2 | 自动迁移 | 源域名使用全局 HTTP/2 配置时，将根据源网关引擎参数 EnableHttp2 配置落实到目标域名，目标网关不再单独支持实例级 HTTP/2 参数 |
域名级 WAF 防护 | - | 不自动迁移 | 域名级 WAF 目标网关不支持，需自行按需调整为目标网关支持的防护方案 |
来源与服务配置
来源与服务
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
容器服务 | 容器服务 | 自动迁移 | 按集群标识创建或复用来源。评估时检查集群是否存在且处于运行状态；查询失败、来源失效或缺少必要标识时，对应服务及依赖路由可能无法迁移 |
MSE Nacos | MSE Nacos | 自动迁移 | 按实例标识创建或复用来源。评估时检查 Nacos 实例是否存在且可用；来源无法解析或不可用时，对应服务及依赖路由可能无法迁移 |
固定地址 | 固定地址 | 自动迁移 | 迁移后确认目标网关可正常访问地址 |
DNS 域名 | DNS 域名 | 自动迁移 | 迁移后确认目标网关可正常访问 DNS 域名 |
SAE Kubernetes 服务 | SAE Kubernetes服务 | 自动迁移 | 目标网关中无需新建SAE Kubernetes服务类型来源，可直接添加对应目标服务以迁移 |
MSE ZooKeeper | - | 不自动迁移 | 对应服务及依赖路由不迁移 |
EDAS 内置注册中心 | - | 不自动迁移 | 对应服务及依赖路由不迁移 |
SAE 内置注册中心 | - | 不自动迁移 | 对应服务及依赖路由不迁移 |
FC 函数计算 | - | 不自动迁移 | 对应服务及依赖路由不迁移 |
服务相关策略
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
服务健康检查配置 | 服务健康检查配置 | 自动迁移 | - |
流量管理-证书加密配置 | 流量管理-证书加密配置 | 自动迁移 | - |
流量管理-负载均衡配置 | 流量管理-负载均衡配置 | 自动迁移 | 若源网关负载均衡类型为轮询，预热时间为 0 时，与云原生 API 网关原有默认行为相一致，目标网关配置开关默认不打开 |
端口级配置 | 端口级配置 | 自动迁移 | - |
服务版本 | 服务版本 | 部分支持 | 目标网关仅支持容器服务和MSE Nacos服务版本配置，其他类型服务版本不支持自动迁移 |
实例配置
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
实例标签 | 实例标签 | 部分支持 | 不符合目标端字符、保留前缀或长度限制的标签及系统标签不支持迁移 |
网关引擎参数 | 网关引擎参数 | 部分支持 | 无对应映射或目标端不支持的参数行为不自动迁移，包括 EnableXffTrustedCidrs、enableHttp2 等，需逐项查看评估结果 |
安全组授权规则 | 安全组授权规则 | 自动迁移 | - |
安全管理-黑/白名单 | 安全管理-黑/白名单 | 自动迁移 | - |
安全管理-全局认证鉴权 | 安全管理-全局认证鉴权 | 部分迁移 | JWT、OIDC、自建鉴权服务类型均支持等量迁移； IDaaS 鉴权类型目标网关不支持，暂不支持自动迁移 |
安全管理-消费者鉴权 | 消费者及路由中消费者认证 | 自动迁移 | 目标网关消费者独立于实例，支持 API Key、JWT、HMAC 等更多认证方式，可跨实例复用 |
可观测配置（日志投递、链路追踪、监控告警） | 目标端可观测配置（日志投递、链路追踪、监控告警） | 不自动迁移 | 需在目标端按需手动开启并完成投递配置，默认不会自动开启。建议在灰度切流前开启配置，否则灰度期间可能缺少观测数据，影响业务验证和异常回滚 |
全链路灰度 | 全链路灰度 | 不自动迁移 | 源网关与目标网关泳道、入口关联及生效范围在存在差异，不支持自动迁移。自行按需在 MSE 治理中心重新配置，并完成端到端验证 |
WAF 防护 | WAF 防护 | 不自动迁移 | 源实例的 WAF 开通状态和防护规则不自动迁移。自行按需在目标网关开启 WAF 防护，并针对目标网关配置防护规则 |
路由配置
源网关中的路由配置将转化为目标网关 HTTP API 中的路由。
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
路由基本信息&匹配规则 | 路由基本信息&匹配规则 | 自动迁移 | 按源端已发布路由配置自动转换域名绑定、路径、方法、请求头、请求参数等匹配条件。未发布修改不在导出范围内；导入后需至目标网关手动发布目标 API |
路由后端服务 | 路由后端服务 | 部分支持 | 路由可迁移的前提是后端服务及其来源支持迁移。目标网关的标签路由仅支持容器服务和 MSE Nacos 类型的后端服务，其他后端服务的标签路由不支持自动迁移 |
策略和插件配置
策略
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
WAF | WAF | 不自动迁移 | 路由级 WAF 开通状态和防护规则不自动迁移。自行按需在目标网关对应路由开启 WAF 防护，并针对目标网关路由配置防护规则 |
限流（流控、并发、熔断规则） | 流量控制、并发控制、熔断 | 自动迁移 | - |
重写 | HTTP重写 | 自动迁移 | - |
Header 修改 | Header 修改 | 自动迁移 | - |
跨域 | 跨域 | 部分迁移 | 跨域配置中为空的“允许的访问来源”和“允许的请求头部”在目标网关中不支持，不支持自动迁移 |
认证 | 消费者认证 | 自动迁移 | 源网关路由的认证策略会迁移到目标网关路由的消费者认证配置中，并同步迁移对应的消费者授权关系 |
流量复制 | 流量复制 | 自动迁移 | - |
超时 | 超时 | 自动迁移 | - |
重试 | 重试 | 自动迁移 | - |
Fallback | Fallback | 自动迁移 | - |
插件
源网关配置 | 目标配置 | 迁移方式 | 注意事项 |
官方插件 | 官方插件 | 部分支持 | 支持自动迁移的插件包括：key-auth、basic-auth、hmac-auth、jwt-auth、oauth、jwt-logout、opa、ext-auth、key-rate-limit、traffic-tag、http-real-ip、hsts、canary-header、request-validation、cluster-key-rate-limit、custom-response、transformer、de-graphql、frontend-gray、cache-control、response-cache、request-block、bot-detect、waf、cors、ip-restriction。暂不支持自动迁移的插件包括：try-path、geo-ip、http2-misdirect、edas-service-auth。对于支持的插件，工具会自动迁移；迁移完成后，需按实例、域名或路由等支持的生效范围重新配置并绑定，并逐项核对开关状态、参数配置和实际执行效果 |
自定义 Wasm 插件 | 自定 Wasm 插件 | 不自动迁移 | 暂不支持自定义 Wasm 插件自动迁移，需自行按需在目标网关上传、安装并完成配置 |
自定义 Lua 插件 | - | 不自动迁移 | - |
若实例级插件配置了 match_route 等按路由生效的规则，迁移后因路由标识变化可能失效，需改配为对应的路由级插件规则。
迁移流程
迁移按以下阶段推进，每个阶段满足完成标志后再进入下一阶段：
准备目标网关：自行根据容量选择合适的目标规格并创建云原生 API 网关专享版实例，源网关与目标网关需位于同一地域、同一 VPC，且目标网关可以访问业务后端。完成标志：源网关和目标网关状态运行正常、业务后端网络可达。
创建并评估迁移任务：建立迁移任务，选择待迁移的源网关与目标网关，生成资源评估结果，处理兼容性差异。完成标志：评估结果已逐项查看和确认。
执行资源迁移：按顺序依次迁移源网关中的域名、服务、实例配置、消费者、路由等资源与配置。完成标志：执行结果已逐项查看和确认。
验证并切换流量：在目标网关上手动发布路由配置并自行完成迁移后路由的全量功能验证与回归。回归通过后，复用符合条件的SLB，或自行采用 DNS 权重灰度切流。完成标志：目标网关的路由匹配、策略与插件（认证、限流、重写等）、业务响应等均符合预期，且路由覆盖的所有业务在切换前验证回归通过。
观察与收尾：灰度过程结合日志、监控等密切观察流量状态，确认目标端稳定、所有业务入口均已完成100%流量切换。完成标志：实际流量及业务指标符合预期，源端无剩余业务流量。确认不再需要原有回滚路径后，再自行安排源实例下线。
回退决策点集中于验证与流量切换阶段：流量切换阶段与度过观察期前，MSE 云原生网关请保持只读兜底并具备回滚能力。源实例下线后，原有回滚路径将不可用。
实例状态、容量、网络及权限的详细要求，请参见创建并评估迁移任务。
切流方式选择
切流是迁移过程中最关键的环节。工具提供两种灰度方式，可根据网关版本和入口形态组合使用。建议从小流量开始，逐步放量，持续观察，并确保可随时回滚。
方式 | 适用条件 | 特点 | 回滚 |
复用 SLB （标准版） | 源网关为普通实例标准版，入口为平台代购或用户自行绑定的 SLB | 直接复用现有 SLB，将云原生 API 网关注册为后端，在迁移工具上按权重灰度；无需改造入口与 DNS | 在迁移工具流程中将目标权重调 0 即可秒级切回 |
调整 DNS 解析权重 （专业版/通用） | 源网关为普通实例专业版，或作为通用兜底方案 | 由用户自行在业务域名的 DNS 解析上配置权重，建议从 1% 起步逐步放量 | 由用户自行将权重调 0 切回，受 DNS TTL 影响，建议提前将 TTL 调小 |
流量切换相关步骤与注意事项，请参见验证并切换流量。
迁移工具行为与使用
工具行为
迁移工具不会根据源网关自动创建目标网关。目标网关需要提前创建，并具备承载迁移后流量所需的规格、网络入口和可用区配置。
创建任务和资源评估只读取源网关配置，不切换流量；迁移执行会写入目标网关配置。
迁移执行时使用资源评估时的配置快照；若源网关配置发生变化，请重新评估后再继续迁移。
迁移执行时跳过资源只表示迁移任务不再迁移该项，不表示目标能力已经补齐；跳过来源、域名或消费者还可能影响依赖的路由。判断迁移完整性应逐项查看迁移说明。
在云原生 API 网关中，域名和消费者可由多个目标网关复用，多网关迁移可能直接更新覆盖目标端同名资源，包括此前成功的资源。迁移执行前应核对目标网关上的同名资源，确认是否影响既有业务。
源网关与目标网关的资源模型不同，迁移结果不一定与源网关配置逐字段一致，应以目标端实际调用效果为准。
取消或删除迁移任务不会自动删除已经写入目标网关的资源，也不会回滚配置。
DNS 切流生效速度受权威 DNS、递归 DNS 和客户端缓存影响，回滚也可能存在延迟。
操作要求
实例准备：准备目标网关实例，完成网络配置，并在切流前开启日志、监控和告警以观察切流过程中业务状态。迁移期间保持源网关配置稳定。
资源迁移：操作迁移工具自动完成支持范围内的配置转换、资源创建与导入；您需检查执行结果，确认跳过或补齐未自动迁移的配置。
业务验证：资源迁移后，需在目标网关手动发布目标 HTTP API，对待切换入口下的全部路由及相关业务完成回归验证，通过后再开始切流。
灰度切流：逐步调整流量比例，每次放量后确认业务指标正常；出现异常及时回退。观察期间保留源网关配置和容量，复用 SLB 时，观察通过后再确认完成迁移。
迁移收尾：确认全部入口已切换、源端无剩余流量且不再需要回退后，自行下线源实例。保留仍在复用的 SLB，避免误删。