如何授权微服务内部沟通？

Question

我有多个微服务。客户端可以通过API网关调用这些微服务，微服务之间也可以相互通信。

理想情况下，请求将来自拥有所有权限的用户的API网关。例如，如果用户（浏览器）需要来自微服务A的数据，则只将该角色授予用户，如果内部微服务A需要来自B的数据（rest call），则不应将该角色分配给用户。

要求：如何限制/授权微服务之间的内部通信，以便只有经授权的微服务才能呼叫其他服务。

选项：

>

将所有角色分配给用户，即使是内部通信（在所有通信中传递相同的令牌）。

如果需要内部通信，则仅将面向用户的微服务角色分配给用户，然后每个微服务将充当其他微服务的用户，并在调用之前生成自己的令牌。

哪个选项最适合使用上述选项或任何其他选项？

Answer 1

我们使用选项1和选项2的组合。

如果用户调用 API，则如果首先网关调用服务 A，然后服务 A 调用服务 B，则 A 将相同的 JWT 令牌传递给服务 B。

如果服务A中的定时器作业定期从服务B获取一些数据，服务A也有其JWT令牌，它通过该令牌调用服务B。

Answer 2

我会选择第2个选项。对于服务内通信，后端服务（应用程序）将充当客户端，并首先请求令牌（/oauth/token）。要验证这些令牌，所有服务都需要一种机制来验证这些令牌（/oauth/check_token）。您可以为此使用客户端凭据授予类型。这些/oauth/**endpoint由Spring提供。要从一个服务向另一个服务发出REST请求，请使用OAuth2RestTemplate及其非线程安全性。

在每个应用程序中，您需要为各种endpoint定义安全保护规则。大致如下：

<sec:filter-security-metadata-source id="securityMetadataSource"
                                         request-matcher="ant"
                                         use-expressions="true">
        <sec:intercept-url pattern="/accounts/**" access="isFullyAuthenticated() and hasRole('PRIVATE_SERVICE')"/>
        <sec:intercept-url pattern="/members/member-details" method="GET" access="isFullyAuthenticated() and hasRole('PORTAL_USER')"/>

对于更多限制，您可以为每个应用程序（而不是每个应用程序实例）颁发自签名证书。在单个信任库中添加所有应用程序的公钥。在应用程序启动期间，让所有应用程序下载此信任库。使用此应用程序将仅与它信任的应用程序通信。