搜索

[25239] 2016-07-12_论微服务安全：保护微服务的两大方案

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2016-07-12_论微服务安全：保护微服务的两大方案 论 微 服 务 安 全 ： 保 护 微 服 务 的 两 大 方 案 译 者 ： 数 人 云   L i n u x 中 国   2 0 1 6 - 0 7 - 1 2 编 译 自 ： h t t p s : / / m e d i u m . f a c i l e l o g i n . c o m / s e c u r i n g - m i c r o s e r v i c e s - w i t h - o a u t h - 2 - 0 - j w t - a n d - x a c m l - d 0 3 7 7 0 a 9 a 8 3 8   作 者 ：   P r a b a t h   S i r i w a r d e n a 译 者 ：   数 人 云 每 个 人 都 在 讨 论 微 服 务 ， 每 个 人 也 都 希 望 能 够 实 现 微 服 务 架 构 ， 而 微 服 务 安 全 也 日 渐 成 为 大 家 关 注 的 重 要 问 题 。 今 天 与 大 家 分 享 的 文 章 ， 就 从 应 用 层 面 深 入 探 讨 了 应 对 微 服 务 安 全 挑 战 的 方 案 ， 为 微 服 务 安 全 提 供 了 新 的 思 路 。 面 向 服 务 架 构 （ 简 称   S O A ） 引 入 了 一 类 设 计 规 范 ， 其 核 心 思 路 在 于 采 用 高 度 解 耦 式 服 务 部 署 ， 其 中 各 项 服 务 可 通 过 一 套 标 准 信 息 格 式 经 由 网 络 实 现 彼 此 通 信 。 这 套 方 案 与 具 体 技 术 无 关 ， 即 不 考 虑 各 项 服 务 具 体 是 如 何 实 现 的 。 每 项 服 务 都 拥 有 一 个 明 确 定 义 ， 用 于 发 布 服 务 描 述 或 者 服 务 接 口 。 在 实 践 当 中 ， 这 类 信 息 格 式 通 过   S O A P   实 现 标 准 化 — — 即 由   W 3 C   于   2 0 0 0   年 初 推 出 的 一 项 标 准 — — 同 时 亦 基 于   X M L — — 其 中 服 务 描 述 由   W S D L （ 另 一 项   W 3 C   标 准 ） 进 行 标 准 化 ， 而 服 务 发 现 标 准 由   U D D I （ 同 样 为   W 3 C   标 准 ） 实 现 。 这 一 切 正 是 基 于   S O A P   的   W e b 服 务 的 实 现 基 础 ， 甚 至 使 得   W e b   服 务 在 一 定 程 度 上 成 了   S O A   的 代 名 词 。 不 过 这 种 实 现 方 式 在 架 构 模 式 层 面 也 有 着 自 己 的 缺 陷 。 S O A   的 基 本 原 则 正 被 时 代 所 逐 步 淘 汰 ， 如 今 由   O A S I S   提 供 的   W S - *   堆 栈 （ 包 括   W S - S e c u r i t y ，   W S - P o l i c y ，   W S - S e c u r i t y   P o l i c y ， W S - T r u s t ,   W S - F e d e r a t i o n ,   W S - S e c u r e   C o n v e r s a t i o n ,   W S - R e l i a b l e   M e s s a g i n g ,   W S - A t o m i c   T r a n s a c t i o n s ,   W S - B P E L   等 等 ） 令   S O A   的 复 杂 性 不 断 提 高 ， 这 也 直 接 导 致 很 多 普 通 开 发 者 发 现 自 己 很 难 对 其 加 以 驾 驭 。 多 年 之 后 ， 如 今 我 们 得 以 再 次 开 启 这 段 通 往   S O A   基 本 原 则 的 旅 途 — — 但 这 一 次 它 有 了 新 的 名 号 ， 即 m i c r o s e r v i c e 微 服 务 。 微 服 务 能 够 为 应 用 程 序 设 计 提 供 一 种 更 具 针 对 性 、 范 围 性 与 模 块 性 的 实 现 方 案 。 微 服 务 可 谓 当 下 一 大 热 门 词 汇 之 一 ， 与 之 并 驾 齐 驱 的 则 包 括 物 联 网 、 容 器 化 与 区 块 链 。 “ 微 服 务 ” 一 词 最 初 于   2 0 1 1   年   5   月 亮 相 于 威 尼 斯 软 件
架 构 师 研 讨 会 。 这 个 词 汇 用 于 解 释 一 类 常 见 的 架 构 类 型 。 大 家 已 经 意 识 到 微 服 务 并 不 仅 仅 是 做 对 了 的   S O A ， 它 也 不 只 是 一 种 架 构 模 式 — — 而 是 一 种 围 绕 架 构 模 式 展 开 的 全 新 文 化 。 其 由 主 要 目 标 作 为 驱 动 力 ， 旨 在 实 现 快 速 部 署 与 快 速 生 产 。 在 保 护 微 服 务 安 全 时 ， 需 要 从 以 下 几 个 角 度 入 手 ： 保 护 开 发 生 命 周 期 与 测 试 自 动 化 机 制 ： 微 服 务 背 后 的 核 心 驱 动 力 在 于 提 升 投 付 生 产 的 速 度 。 我 们 需 要 向 服 务 当 中 引 入 变 更 ， 加 以 测 试 而 后 立 即 将 成 果 部 署 至 生 产 环 境 。 为 了 确 保 在 代 码 层 面 中 不 存 在 安 全 漏 洞 ， 我 们 需 要 制 定 规 划 以 进 行 静 态 代 码 分 析 与 动 态 测 试 — — 更 重 要 的 是 ， 这 些 测 试 应 当 成 为 持 续 交 付 流 程 的 组 成 部 分 。 任 何 安 全 漏 洞 都 需 要 在 早 期 开 发 周 期 内 被 发 现 ， 另 外 反 馈 周 期 也 必 须 尽 可 能 得 到 缩 短 。 D e v O p s   安 全 ： 微 服 务 部 署 模 式 可 谓 多 种 多 样 — — 但 其 中 使 用 最 为 广 泛 的 当 数 每 主 机 服 务 模 式 。 其 中 的 主 机 指 定 的 并 不 一 定 是 物 理 设 备 — — 也 很 可 能 属 于 容 器 （ D o c k e r ） 。 我 们 需 要 对 容 器 层 面 的 安 全 进 行 关 注 。 我 们 该 如 何 确 保 各 容 器 之 间 得 到 有 效 隔 离 ， 又 该 在 容 器 与 主 机 操 作 系 统 之 间 采 取 怎 样 的 隔 离 水 平 ？ 应 用 级 别 安 全 ： 我 们 该 如 何 验 证 用 户 身 份 并 对 其 微 服 务 访 问 操 作 进 行 控 制 ， 又 要 怎 样 保 障 不 同 微 服 务 之 间 的 通 信 安 全 ？ 在 今 天 的 文 章 中 ， 我 们 将 提 供 一 整 套 安 全 模 式 ， 旨 在 解 决 应 用 层 级 所 面 临 的 各 类 微 服 务 安 全 保 护 挑 战 。 单 体 应 用 单 体 应 用   V S   微 服 务 微 服 务 在 整 体 型 应 用 程 序 中 ， 所 有 服 务 都 被 部 署 在 同 一 应 用 服 务 器 当 中 ， 而 该 应 用 服 务 器 本 身 则 提 供 会 话 管 理 功 能 。 其 中 不 同 服 务 间 的 接 口 为 本 地 调 用 ， 且 全 部 服 务 皆 可 共 享 用 户 的 逻 辑 状 态 。 每 项 服 务 （ 或 者 组 件 ） 不 需 要 对 用 户 进 行 验 证 。 验 证 工 作 集 中 由 拦 截 器 处 理 ， 其 拦 截 所 有 服 务 调 用 并 审 查 其 是 否 可 以 放 行 。 验 证 完 成 之 后 ， 其 会 在 不 同 平 台 上 的 不 同 服 务 （ 或 者 组 件 ） 间 发 送 用 户 登 录 凭 证 。 以 下 示 意 图 解 释 了 整 体 应 用 程 序 中 各 不 同 组 件 间 的 交 互 方 式 。 在   J a v a   E E   环 境 下 ， 拦 截 器 可 以 由   s e r v l e t   过 滤 器 充 当 。 该   s e r v l e t   过 滤 器 会 拦 截 全 部 来 自 其 已 注 册 上 下 文 的 请 求 ， 并 强 制 进 行 验 证 。 该 服 务 调 用 要 么 携 带 有 效 的 凭 证 ， 要 么 拥 有 能 够 映 射 至 某 个 用 户 的 会 话 令 牌 。 一 旦   s e r v l e t   过 滤 器 找 到 该 用 户 ， 则 会 创 建 登 录 上 下 文 ， 并 将 其 传 递 给 下 游 组 件 。 每 个 下 游 组 件 都 能 够 从 该 登 录 上 下 文 内 识 别 出 用 户 以 完 成 授 权 。 在 微 服 务 环 境 下 ， 安 全 性 往 往 成 为 最 大 的 挑 战 。 在 微 服 务 架 构 当 中 ， 各 服 务 分 布 及 部 署 在 分 布 式 设 置 当 中 的 多 套 容 器 之 内 。 各 服 务 接 口 不 再 存 在 于 本 地 ， 而 是 通 过   H T T P   进 行 远 程 接 入 。 以 下 示 意 图 显 示 了 不 同 微 服 务 之 间 的 交 互 方 式 。
这 里 的 挑 战 在 于 ， 我 们 要 如 何 验 证 用 户 并 在 不 同 微 服 务 之 间 以 对 称 方 式 完 成 登 录 上 下 文 传 递 ， 随 后 还 要 想 办 法 让 微 服 务 完 成 对 用 户 的 授 权 。 保 护 服 务 到 服 务 通 信 保 护 服 务 到 服 务 通 信 在 今 天 的 文 章 中 ， 我 们 将 探 讨 两 套 方 案 ， 旨 在 保 护 服 务 到 服 务 通 信 。 其 一 基 于   J W T ， 其 二 则 基 于   T L S   相 互 验 证 。 J S O N   W e b   令 牌 （ 简 称 令 牌 （ 简 称   J W T ） ） J W T （ 即   J S O N   W e b   令 牌 ） 负 责 定 义 一 套 容 器 ， 旨 在 完 成 各 方 之 间 的 数 据 传 输 。 其 可 用 于 ： 在 各 方 之 间 传 播 其 中 一 方 的 身 份 。 在 各 方 之 间 传 播 用 户 权 利 。 通 过 非 安 全 通 道 在 各 方 之 间 安 全 实 现 数 据 传 输 。
根 据 J W T 受 信 指 标 判 断 用 户 身 份 。 已 签 名   J W T   被 称 为   J W S （ 即   J S O N   W e b   签 名 ） ， 而 加 密   J W T   则 被 称 为   J W E （ 即   J S O N   W e b   加 密 ） 。 事 实 上 ， J W T   并 不 会 以 自 身 原 始 方 式 存 在 — — 其 要 么 作 为   J W S ， 要 么 作 为   J W E ， 它 像 是 一 种 抽 象 类 — — J W S   与   J W E   为 其 具 体 实 现 方 式 。 来 自 某 一 微 服 务 并 将 被 传 递 至 另 一 微 服 务 的 用 户 上 下 文 可 伴 随   J W S   一 同 传 递 。 由 于   J W S   由 上 游 微 服 务 的 某 一 已 知 密 钥 进 行 签 名 ， 因 此 J W S   会 同 时 包 含 有 最 终 用 户 身 份 （ 在   J W T   中 声 明 ） 以 及 上 游 微 服 务 身 份 （ 通 过 签 名 实 现 ） 。 为 了 接 收   J W S ， 下 游 微 服 务 首 先 需 要 根 据 J W S   本 身 中 的 嵌 入 公 钥 对   J W S   的 签 名 进 行 验 证 。 这 还 不 够 ， 我 们 还 需 要 检 查 该 密 钥 是 否 受 信 。 不 同 微 服 务 之 间 可 通 过 多 种 方 式 建 立 受 信 关 系 。 其 一 为 由 服 务 为 各 服 务 配 置 受 信 证 书 。 很 明 显 ， 这 种 方 式 在 规 模 化 微 服 务 部 署 环 境 中 并 不 可 行 。 因 此 我 建 议 大 家 建 立 一 套 专 有 证 书 中 心 （ 简 称   C A ） ， 同 时 可 以 为 不 同 微 服 务 组 设 置 中 介 证 书 中 心 。 现 在 ， 相 较 于 互 相 信 任 及 各 自 分 配 不 同 的 证 书 ， 下 游 微 服 务 将 只 需 要 信 任 根 证 书 授 权 或 者 中 介 机 制 即 可 。 这 能 够 显 著 降 低 证 书 配 置 所 带 来 的 管 理 负 担 。 J W T   验 证 的 成 本 验 证 的 成 本 每 项 微 服 务 都 需 要 承 担   J W T   验 证 成 本 ， 其 中 还 包 含 用 于 验 证 令 牌 签 名 的 加 密 操 作 。 微 服 务 层 级 中 的   J W T   会 进 行 缓 存 ， 而 非 每 次 进 行 数 据 提 取 ， 这 就 降 低 了 重 复 令 牌 验 证 造 成 的 性 能 影 响 。 缓 存 过 期 时 间 必 须 与   J W T   的 到 期 时 间 相 匹 配 。 正 是 由 于 利 用 这 种 机 制 ， 因 此 如 果   J W T   的 过 期 时 间 设 定 得 太 短 ， 则 会 给 缓 存 性 能 造 成 严 重 影 响 。 验 证 用 户 验 证 用 户 J W T   在 其 声 明 集 中 包 含 一 项 参 数 ， 名 为   s u b ， 其 代 表 拥 有 该   J W T   的 主 体 或 者 用 户 。 J W T   本 身 也 可 以 包 含 各 类 用 户 属 性 ， 例 如 f i r s t _ n a m e 、 l a s t _ n a m e 、 e m a i l   等 等 。 如 果 任 何 微 服 务 需 要 在 其 操 作 过 程 中 识 别 此 用 户 ， 则 需 要 查 看 对 应 的 属 性 。 s u b   属 性 的 值 对 于 给 定 发 行 者 而 言 是 惟 一 的 。 如 果 大 家 拥 有 一 项 微 服 务 ， 其 能 够 从 多 个 发 行 者 处 接 收 令 牌 ， 那 么 该 用 户 的 惟 一 性 应 被 认 定 为 该 发 行 者 与   s u b   属 性 的 结 合 体 。 而   a u d   参 数 同 样 存 在 于   J W T   声 明 集 内 ， 负 责 指 定 令 牌 的 目 标 受 众 。 其 可 以 是 单 个 接 收 者 或 者 是 一 组 接 收 者 。 在 执 行 任 何 验 证 检 查 之 前 ， 该 令 牌 接 收 者 都 必 须 首 先 查 看 是 否 发 布 了 特 定   J W T   供 其 使 用 ， 如 果 没 有 则 立 即 拒 绝 。 令 牌 发 送 方 需 要 在 发 出 令 牌 之 前 ， 确 定 该 令 牌 实 际 接 收 者 的 身 份 ， 同 时   a u d   参 数 值 必 须 属 于 令 牌 发 送 方 与 接 收 方 间 预 先 约 定 的 值 。 在 微 服 务 环 境 中 ， 我 们 可 以 利 用 正 规 表 达 式 来 验 证 令 牌 受 众 。 举 例 来 说 ， 令 牌 中 的   a u d   值 可 以 为 * . f a c i l e l o g i n . c o m ， 意 味 着   f a c i l e l o g i n . c o m   域 名 下 的 每 个 接 收 方 （ 例 如 f o o . f a c i l e l o g i n . c o m 、 b a r . f a c i l e l o g i n . c o m   等 ） 都 能 够 拥 有 自 己 的   a u d   值 。 T L S   相 互 身 份 验 证 相 互 身 份 验 证 在   T L S   相 互 验 证 与   J W T   方 法 当 中 ， 每 项 微 服 务 都 需 要 拥 有 自 己 的 证 书 。 这 两 种 方 法 的 区 别 在 于 ， J W T   验 证 机 制 中   J W S   可 同 时 携 带 最 终 用 户 身 份 以 及 上 游 服 务 身 份 。 而   T L S   相 互 验 证 则 只 在 应 用 层 传 输 最 终 用 户 身 份 。 证 书 吊 销 证 书 吊 销 在 以 上 提 到 的 两 种 方 案 当 中 ， 证 书 吊 销 都 是 项 棘 手 的 任 务 。 证 书 吊 销 尽 管 难 以 实 现 ， 但 仍 然 存 在 多 种 选 项 供 我 们 选 择 ： C R L   ( 证 书 吊 销 列 表   /   R F C   2 4 5 9 ) O C S P   ( 在 线 证 书 状 态 协 议   /   R F C   2 5 6 0 ) O C S P   S t a p l i n g   ( R F C   6 0 6 6 ) O C S P   S t a p l i n g   R e q u i r e d   ( 尚 处 于 草 案 阶 段 ) C R L   的 使 用 频 率 并 不 高 。 客 户 端 在 发 起   T L S   握 手 时 ， 必 须 从 对 应 的 证 书 颁 发 中 心 处 获 取 一 份 长 长 的 吊 销 证 书 列 表 ， 而 后 检 查 服 务 器 证 书 是
否 被 列 入 该 列 表 。 相 较 于 每 一 次 进 行 列 表 获 取 ， 客 户 端 可 以 在 本 地 对   C R L   进 行 缓 存 。 在 此 之 后 ， 大 家 还 需 要 考 虑 如 何 避 免 以 陈 旧 数 据 为 基 础 做 出 判 断 的 问 题 。 当   T L S   相 互 验 证 机 制 被 使 用 时 ， 服 务 器 也 需 要 针 对 客 户 端 进 行 同 样 的 证 书 验 证 。 最 终 ， 人 们 发 现   C R L   的 实 际 效 果 其 实 并 不 理 想 ， 因 此 新 的 解 决 方 案 也 应 运 而 生 — — 这 就 是   O C S P 。 在   O C S P   当 中 ， 一 切 元 素 的 实 际 效 果 都 要 比   C R L   好 上 那 么 一 点 。 T L S   客 户 端 能 够 检 查 特 定 证 书 的 状 态 ， 且 无 需 从 证 书 中 心 处 下 载 完 整 的 吊 销 证 书 列 表 。 换 句 话 来 说 ， 当 客 户 端 每 次 与 新 的 下 游 微 服 务 进 行 通 信 时 ， 其 都 必 须 同 对 应 的   O C S P   响 应 方 沟 通 以 验 证 当 前 服 务 器 （ 或 者 服 务 ） 的 证 书 状 态 — — 而 服 务 器 则 必 须 面 向 客 户 端 证 书 执 行 同 样 的 操 作 。 如 此 一 来 ， O C S P   响 应 方 同 样 面 临 着 巨 大 的 流 量 压 力 。 基 于 同 样 的 考 虑 ， 客 户 端 仍 然 可 以 对   O C S P   决 策 进 行 缓 存 ， 但 这 无 疑 继 续 带 来 同 样 的 、 基 于 陈 旧 数 据 进 行 决 策 的 可 能 性 。 而   O C S P   s t a p l i n g   的 出 现 令 客 户 端 不 再 需 要 每 次 同 下 游 微 服 务 进 行 通 信 时 ， 都 与   O C S P   响 应 方 “ 打 招 呼 ” 。 该 下 游 微 服 务 将 从 对 应 的   O C S P   响 应 方 处 获 取   O C S P   响 应 ， 以 及   s t a p l e ， 或 者 将 响 应 附 加 到 证 书 本 身 当 中 。 由 于   O C S P   响 应 得 到 了 对 应 证 书 中 心 的 签 名 ， 因 此 该 客 户 端 能 够 验 证 通 过 其 签 名 并 接 收 此 响 应 。 这 种 方 法 令 事 情 有 了 转 机 ， 事 实 上 如 今 是 由 服 务 而 非 客 户 端 与   O C S P   响 应 方 进 行 通 信 。 不 过 在   T L S   相 互 验 证 模 式 下 ， O C S P   s t a p l i n g   相 较 于 原 始   O C S P   无 法 带 来 任 何 额 外 优 势 。 由 于   O C S P   必 须 配 合   s t a p l i n g ， 该 服 务 （ 即 下 游 服 务 ） 需 要 向 客 户 端 （ 即 上 游 服 务 ） 提 供 保 证 ， 证 明   O C S P   响 应 被 附 加 到 了 该 服 务 在   T L S   握 手 时 接 收 到 的 证 书 中 。 如 果   O C S P   响 应 未 被 附 加 至 该 证 书 中 ， 那 么 结 果 并 非 出 现 软 错 误 ， 而 是 客 户 端 必 须 立 即 拒 绝 该 连 接 。 临 时 证 书 临 时 证 书 从 最 终 用 户 的 角 度 来 看 ， 临 时 证 书 的 效 果 与 目 前 的 常 规 证 书 并 无 区 别 ， 只 不 过 暂 时 证 书 的 过 期 时 间 非 常 之 短 。 T L S   客 户 端 并 不 需 要 针 对 临 时 证 书 进 行   C R L   或 者   O C S P   验 证 ， 而 是 坚 持 设 定 好 的 过 期 时 间 ， 并 对 证 书 本 身 进 行 时 间 戳 加 盖 。 N e t f l i x   与 临 时 证 书 与 临 时 证 书 临 时 证 书 带 来 的 最 大 挑 战 在 于 其 部 署 与 维 护 工 作 。 自 动 则 正 是 解 决 这 些 难 题 的 灵 丹 妙 药 。 N e t f l i x   公 司 建 议 使 用 分 层 方 案 以 构 建 临 时 证 书 部 署 机 制 。 大 家 可 以 在   T P M （ 即 受 信 平 台 模 块 ） 或 者   S G X （ 软 件 保 护 扩 展 ） 当 中 获 得 系 统 身 份 或 者 长 期 证 书 ， 从 而 显 著 提 升 安 全 性 。 在 此 之 后 ， 再 使 用 这 些 凭 证 作 为 临 时 证 书 。 最 后 ， 在 微 服 务 中 使 用 临 时 证 书 — — 这 些 证 书 亦 可 由 其 它 微 服 务 使 用 。 每 项 微 服 务 都 能 够 利 用 自 身 长 期 证 书 对 临 时 证 书 进 行 定 期 刷 新 。 当 然 ， 仅 仅 拥 有 临 时 证 书 还 不 够 — — 托 管 该 服 务 （ 或 者   T L S   终 止 器 ） 的 主 机 应 当 支 持 对 服 务 器 证 书 的 动 态 更 新 。 目 前 存 在 大 量 能 够 运 行 服 务 器 证 书 动 态 重 载 的   T L S   终 止 器 ， 但 其 中 大 多 数 可 能 会 导 致 短 暂 的 服 务 停 机 。 边 界 安 全 边 界 安 全 微 服 务 集 与 外 部 世 界 的 连 通 一 般 经 由   A P I   网 关 模 式 实 现 。 利 用   A P I   网 关 模 式 ， 需 要 进 行 声 明 的 微 服 务 能 够 在 该 网 关 内 获 得 对 应 的   A P I 。 当
然 ， 并 不 是 所 有 微 服 务 都 需 要 立 足 于   A P I   网 关 实 现 声 明 。 最 终 用 户 对 微 服 务 的 访 问 （ 通 过   A P I   实 现 ） 应 当 在 边 界 或 者   A P I   网 关 处 进 行 验 证 。 目 前 最 为 常 见 的   A P I   安 全 保 护 模 式 为   O A u t h   2 . 0 。 O A u t h   2 . 0 O A u t h   2 . 0   是 一 套 作 为 访 问 代 表 的 框 架 。 它 允 许 某 方 对 另 一 方 进 行 某 种 操 作 。 O A u t h   2 . 0   引 入 了 一 系 列   g r a n t   t y p e 。 其 中 之 一 用 于 解 释 协 议 ， 客 户 端 可 利 用 此 协 议 获 取 资 源 拥 有 方 的 许 可 ， 从 而 代 表 拥 有 方 进 行 资 源 访 问 。 另 外 ， 还 有 部 分   g r a n t   t y p e   可 解 释 用 于 获 取 令 牌 的 协 议 ， 且 整 个 操 作 完 全 等 同 于 由 资 源 拥 有 方 执 行 — — 换 言 之 ， 该 客 户 在 这 种 情 况 下 即 相 当 于 资 源 拥 有 方 。 以 下 示 意 图 解 释 了   O A u t h   2 . 0   协 议 的 宏 观 实 现 流 程 。 其 中 描 述 了   O A u t h   客 户 端 、 资 源 拥 有 方 、 验 证 服 务 器 以 及 资 源 服 务 器 之 间 的 交 互 方 式 。 要 想 通 过   A P I   网 关 访 问 某 项 微 服 务 ， 请 求 发 起 方 必 须 首 先 获 得 有 效 的   O A u t h   令 牌 。 系 统 能 够 以 自 身 角 色 访 问 微 服 务 ， 也 可 以 作 为 其 他 用 户 实 现 访 问 。 对 于 后 一 种 情 况 ， 假 设 用 户 登 录 至 某   W e b   应 用 ， 那 么 此 后 该   W e b   应 用 即 可 以 所 登 录 用 户 的 身 份 进 行 微 服 务 访 问 。
下 面 来 看 端 到 端 通 信 的 具 体 实 现 方 式 ， 如 上 图 所 显 示 ： 用 户 通 过   I d e n t i t y   P r o v i d e r   登 录 至   W e b   应 用 / 移 动 应 用 ， 而   W e b   应 用 / 移 动 应 用 则 通 过   O p e n I D   C o n n e c t （ 也 可 以 是   S A M L   2 . 0 ） 信 任 该   P r o v i d e r 。 该   W e b   应 用 获 取 一 条   O A u t h   2 . 0   a c c e s s _ t o k e n   与 一 条   i d _ t o k e n 。 其 中   i d _ t o k e n   将 验 证 访 问 该   W e b   应 用 的 最 终 用 户 。 如 果 使 用   S A M L 2 . 0 ， 则 该   W e b   应 用 需 要 与 其 信 任 的   O A u t h   验 证 服 务 器 的   t o k e n   端 点 进 行 通 信 ， 同 时 将   S A M L   令 牌 交 换 为 一 条   O A u t h   a c e s s _ t o k e n ， 随 后 交 换   O A u t h   2 . 0   的   S A M L   2 . 0   g r a n t   t y p e 。 该   W e b   应 用 会 作 为 最 终 用 户 调 用 一 个   A P I — — 并 随 同   A P I   请 求 发 送   a c c e s s _ t o k e n 。 A P I   网 关 会 拦 截 来 自 该   W e b   应 用 的 请 求 ， 提 取   a c c e s s _ t o k e n ， 与 令 牌 交 换 端 点 （ 或 者   S T S ） 进 行 通 信 ， 并 由 后 者 验 证 该 a c c e s s _ t o k e n ， 而 后 向 该   A P I   网 关 提 供   J W T （ 由 其 签 名 ） 。 此   J W T   还 携 带 有 用 户 上 下 文 。 在   S T S   对   a c e s s _ t o k e n   进 行 验 证 时 ， 其 还 将 通 过   i n t r o s p e c t i o n   A P I   与 对 应 的   O A u t h   授 权 服 务 器 进 行 通 信 。 A P I   网 关 向 下 游 微 服 务 将 同 时 发 出 请 求 与   J W T 。 每 项 微 服 务 都 会 验 证 其 接 收 到 的   J W T ， 而 后 作 为 下 游 服 务 调 用 ， 其 能 够 创 建 新 的 自 签 名   J W T   并 将 其 与 该 请 求 一 同 发 送 。 在 其 它 方 案 中 ， 亦 会 用 到 嵌 套   J W T — — 即 由 新 的   J W T   携 带 上 一   J W T 。 在 上 述 流 程 当 中 ， 来 自 外 部 客 户 端 的   A P I   请 求 将 经 由 该   A P I   网 关 。 当 某 项 微 服 务 与 其 它 微 服 务 通 信 时 ， 其 将 不 再 需 要 经 过 该 网 关 。 另 外 ， 从 特 定 微 服 务 的 角 度 来 看 ， 无 论 大 家 是 从 外 部 客 户 端 还 是 其 它 微 服 务 处 获 取 请 求 ， 获 得 的 都 是   J W T — — 也 就 是 说 ， 这 是 一 种 对 称 安 全 模 式 。 访 问 控 制 访 问 控 制 授 权 属 于 一 项 业 务 功 能 。 每 项 微 服 务 可 以 决 定 使 用 何 种 标 准 以 允 许 各 项 访 问 操 作 。 从 简 单 的 授 权 角 度 来 讲 ， 我 们 可 以 检 查 特 定 用 户 是 否 向 特 定 资 源 执 行 了 特 定 操 作 。 将 操 作 与 资 源 加 以 结 合 ， 也 就 构 成 了 权 限 。 授 权 检 查 会 评 估 特 定 用 户 是 否 具 备 访 问 特 定 资 源 的 最 低 必 要 权 限 集 合 。 该 资 源 能 够 定 义 谁 可 以 进 行 访 问 ， 可 在 访 问 中 具 体 执 行 哪 些 操 作 。 为 特 定 资 源 声 明 必 要 权 限 可 通 过 多 种 方 式 实 现 。 X A C M L   （ 可 扩 展 访 问 控 制 标 记 语 言 ） （ 可 扩 展 访 问 控 制 标 记 语 言 ） X A C M L   已 经 成 为 细 粒 度 访 问 控 制 领 域 的 客 观 标 准 。 其 引 入 的 方 式 能 够 代 表 访 问 某 种 资 源 所 需 要 的 权 限 集 ， 且 具 体 方 法 采 用 基 于   X M L   的 特 定 域 语 言 （ 简 称   D S L ） 编 写 而 成 。
上 图 所 示 为   X A C M L   组 件 架 构 。 首 先 ， 策 略 管 理 员 需 要 通 过   P A P （ 即 策 略 管 理 点 ） 定 义   X A C M L   策 略 ， 而 这 些 策 略 将 被 保 存 在 策 略 存 储 内 。 要 检 查 特 定 实 体 是 否 拥 有 访 问 某 种 资 源 的 权 限 ， P E P （ 即 策 略 执 行 点 ） 需 要 拦 截 该 访 问 请 求 、 创 建 一 条   X A C M L   请 求 并 将 其 发 送 至   X A C M L P D P （ 即 策 略 决 策 点 ） 。 该   X A C M L   请 求 能 够 携 带 任 何 有 助 于 在   P D P   上 执 行 决 策 流 程 的 属 性 。 举 例 来 说 ， 其 能 够 包 含 拒 绝 标 识 符 、 资 源 标 识 符 以 及 特 定 对 象 将 对 目 标 资 源 执 行 的 操 作 。 需 要 进 行 用 户 授 权 的 微 服 务 则 需 要 与 该   P D P   通 信 并 从   J W T   中 提 取 相 关 属 性 ， 从 而 建 立 X A C M L   请 求 。 P I P （ 即 策 略 信 息 点 ） 会 在   P D P   发 现   X A C M L   请 求 中 不 存 在 策 略 评 估 所 要 求 的 特 定 属 性 时 介 入 。 在 此 之 后 ， P D P   会 与   P I P   通 信 以 找 到 缺 失 的 对 应 属 性 。 P I P   能 够 接 入 相 关 数 据 存 储 ， 找 到 该 属 性 而 后 将 其 返 回 至   P D P 。 嵌 入 式 嵌 入 式   P D P 远 程   P D P   模 式 存 在 几 大 弊 端 ， 其 可 能 与 微 服 务 的 基 本 原 则 发 生 冲 突 ： 性 能 成 本 ： 每 一 次 被 要 求 执 行 访 问 控 制 检 查 时 ， 对 应 微 服 务 都 需 要 通 过 线 缆 与   P D P   进 行 通 信 。 当 该 决 策 被 缓 存 在 客 户 端 时 ， 此 类 传 输 成 本 与 策 略 评 估 成 本 将 得 到 有 效 降 低 。 不 过 在 使 用 缓 存 机 制 时 ， 我 们 亦 有 可 能 根 据 陈 旧 数 据 进 行 安 全 决 策 。 策 略 信 息 点 （ 简 称   P I P ） 的 所 有 权 ： 每 项 微 服 务 都 应 当 拥 有 自 己 的   P I P ， 其 了 解 要 从 哪 里 引 入 实 现 访 问 控 制 所 必 需 的 数 据 。 在 以 上 方 案 中 ， 我 们 建 立 起 的 一 套 “ 整 体 式 ”   P D P ， 其 中 包 含 全 部   P I P — — 对 应 全 部 微 服 务 。
如 上 图 所 示 ， 嵌 入 式   P D P   将 遵 循 一 类 事 件 模 式 ， 其 中 每 项 微 服 务 都 会 订 阅 其 感 兴 趣 的 主 题 以 从   P A P   处 获 取 合 适 的 访 问 控 制 策 略 ， 而 后 更 新 其 内 嵌   P D P 。 大 家 可 以 通 过 微 服 务 组 或 者 全 局 多 租 户 模 型 获 取   P A P 。 当 出 现 新 策 略 或 者 策 略 存 在 更 新 时 ， 该   P A P   会 向 对 应 的 主 题 发 布 事 件 。 这 套 方 案 不 会 违 反 微 服 务 中 的 “ 服 务 器 不 变 ” 原 则 。 “ 服 务 器 不 变 ” 意 味 着 当 大 家 在 持 续 交 付 流 程 结 尾 处 ， 直 接 利 用 加 载 自 库 的 配 置 构 建 服 务 器 或 者 容 器 时 ， 整 个 创 建 流 程 应 该 能 够 基 于 同 样 的 配 置 进 行 不 断 重 复 。 因 此 ， 我 们 不 希 望 任 何 用 户 登 入 服 务 器 并 对 配 置 做 出 变 更 。 在 内 嵌   P D P 模 式 下 ， 尽 管 服 务 器 会 加 载 对 应 的 策 略 ， 但 其 仍 同 时 处 于 运 行 当 中 。 这 意 味 着 当 我 们 启 动 新 容 器 时 ， 其 仍 然 立 足 于 同 样 的 策 略 集 。 在 结 束 本 篇 文 章 之 前 ， 我 们 还 有 另 一 个 重 要 的 问 题 需 要 回 答 ， 即   A P I   网 关 在 授 权 上 下 文 中 到 底 扮 演 着 怎 样 的 角 色 。 我 们 可 以 设 置 全 局 可 访 问 的 访 问 控 制 策 略 — — 其 可 用 于 最 终 用 户 ， 并 由 网 关 进 行 强 制 执 行 — — 但 无 法 设 置 服 务 层 级 的 策 略 。 因 为 顾 名 思 义 ， 服 务 层 策 略 必 须 在 服 务 层 上 执 行 。 编 译 自 ： h t t p s : / / m e d i u m . f a c i l e l o g i n . c o m / s e c u r i n g - m i c r o s e r v i c e s - w i t h - o a u t h - 2 - 0 - j w t - a n d - x a c m l - d 0 3 7 7 0 a 9 a 8 3 8   作 者 ：   P r a b a t h   S i r i w a r d e n a 译 者 ：   数 人 云 推 荐 文 章 推 荐 文 章 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章
点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理