微服务-IPC身份验证/授权
我们正在尝试找出IPC身份验证和授权的最佳实践。我会解释的。我们有一个基于微服务的体系结构SaaS和一个专门的认证服务。该服务负责执行身份验证和管理身份验证令牌（JWT）。
现在的问题是如何验证和授权由其他服务发起的请求（没有特定用户的上下文）？
- 我们是否应该为每个服务生成一个专用用户，并像对待系统中的任何其他用户一样对待它（具有适当的权限）？
- 我们是否应该在服务之间部署“硬编码”/动态令牌？
- 还有其他想法吗？
我们最担心的是，由于从一个服务到另一个服务的请求是以高级别的权限处理的，因此这些令牌/密码在某一时刻会被泄露。
共有1个答案
我不是微服务专家，只是刚开始在微服务领域摸爬滚打。从我所读到的到现在为止，这可以通过多种方式来处理，正如您所提到的，其中之一是硬编码API键，以便服务彼此识别。但我个人从来不喜欢这个想法--也像你提到的那样，每个服务都使用一个用户。我非常喜欢的一个解决方案是使用Oauth2来处理这些场景--我发现的一个有趣的实现是Gluu Server，我认为客户机凭据授予类型就是您要找的--请参阅https://Gluu.org/docs/integrate/oauth2grants/。
玩得开心：）
-
我有一个移动（本机）和Web应用程序（SPA），它与后端微服务（在核心2.0中开发）对话，以进行身份验证/授权和其他与域相关的功能，该功能已使用Opendi的配置。这两个应用程序都获得了访问令牌。我遇到的问题是，所有微服务都应该接受无记名访问令牌和登录用户的身份验证/授权（中央身份验证服务），在身份验证微服务中生成的访问令牌（开放身份验证2.*）。那么，我在微服务中缺少哪些更改，其中REST AP
-
我要找的是一些别人如何解决这个问题的建议/经验。如果需要，我很乐意提供更多的信息。 为了让您更容易地给出建议，这里有两个选择的简短描述：1）使用JWT处理身份验证和授权？为什么？2）保持JWT的轻量级，并在每个微服务中向授权服务器发出请求？为什么？
-
我正在尝试在一个microservice中配置一个microservice，但我正在尝试在另一个microservice中配置一个microservice如何进行身份验证。这就是我试图归档的体系结构： 我已经设法让用户授权工作并保护了微服务A，现在我正在尝试授权来自微服务B的请求，但我不确定如何做到这一点，我是否应该为微服务B在KeyCape中创建一个专用用户，或者在realm中创建客户端，或者其
-
以下是不同的情况： 我的微服务A接收通过API网关并携带有效访问令牌的最终用户发起的请求(JWT，其作用域/声明对应于最终用户：用户名、id、电子邮件、权限等）。这个案子没问题。微服务拥有处理请求的所有信息。 第一个问题：如果微服务A需要调用微服务B会发生什么？ null null 例如，微服务B中被调用的方法需要用户id才能工作。用户id值可以设置为查询字符串。如果使用用户访问令牌调用该方法，则
-
OAuth术语已经困扰我很久了。OAuth授权是像一些人建议的那样，还是认证？ 如果我错了，请纠正我，但我一直认为授权是允许某人访问某个资源的行为，而OAuth似乎没有任何实际允许用户访问给定资源的实现。OAuth实现所讨论的都是为用户提供一个令牌（签名的，有时是加密的）。然后，每次调用都会将该令牌传递到后端服务endpoint，在后端服务endpoint上检查该令牌的有效性，这也不是OAuth的
-
问题内容： 是否可以在Android应用程序中使用JAAS？ 在android API 中，该包的大多数类都在说 旧版安全代码；不使用。 但是，Android上以用户为中心的JAAS可以替代吗？或者，如果我手动部署，可能会起作用吗？ 问题答案： JAAS并不真正适用于Android。JAAS为基于Java的应用程序提供了以用户为中心的安全性（身份是通常正在运行应用程序的“用户”，例如LDAP用户I