如何在微服务和API网关体系结构中验证和授权不同的配置文件

Question

我想建立一个微服务架构。它应该有13个微服务和3个客户端（2个网络客户端和1个移动客户端）。

在我们的场景中，我们有：

• 员工：对特定和共享服务的访问权限及其凭据存储在Active Directory中；
• 管理员：他们是具有完全访问权限的员工。他们拥有特定和共享的服务，他们的凭据存储在Active Directory中；
• 客户：对特定和共享服务的访问及其凭据存储在身份微服务中。

我们将有一个API网关。

每个请求都由API网关处理，它应该（或调用负责人）检查请求的令牌是否有效，识别它是否是客户、员工或管理员，并检查该用户是否有权访问请求API/微服务。

我对这个解决方案有一些误解，所以我希望得到一些帮助：

• API网关的职责是什么？
• 什么是身份微服务职责？
• 如何管理定义员工、客户和管理员可以访问或不可以访问哪些API/微服务？
• 如何识别给定用户是客户、员工还是管理员？

Answer 1

API网关的职责是什么？

API网关可以理解为一种服务，它位于所有其他服务之前，并允许您将这些服务公开给客户端。这样做时，它允许所有流量通过自己，因此它可以做很多事情，例如

• 安全
• 伐木
• 路由
• 版本控制
• 正在转变

您有一个带有标题的传入请求，需要将其传递给实际处理该请求的下游服务。API网关几乎可以完成上述两项之间的所有工作。

身份微服务的职责是什么？

标识是帮助您唯一标识用户的一组数据。在你的情况下，你有一个Active Directory，它有你所有员工的身份信息。类似地，你可以保留关于客户的信息，这是一项这样的服务。Identity应全权负责帮助您识别用户的基本人口统计信息。除此之外，这样的服务可能还需要为使用身份提供安全性。

身份可以有角色，服务在相互通信时需要传递信息，这些信息告诉下游服务身份以及该服务可以验证传递的身份信息的一些方法。

这就是OAuth发挥作用的地方，如果添加身份、身份提供者和授权，就会得到一个名为OIDC或OpenID Connect的东西

这样，您应该能够为每个身份定义角色，然后让单个服务决定具有特定角色的特定身份可以做什么或不能做什么。

如何确定给定用户是客户、员工还是管理员？

好的，你可以使用这个角色来识别（如果你可以在你的身份中添加角色），或者让你的身份服务为你回答这个问题。传递用户ID，让服务告诉您它基于该用户数据的来源是什么类型的用户。除非我有更多的洞察力，否则回答这个问题并不难。