17、使用Azure Active Directory保护微服务

使用Azure Active Directory保护微服务

1. OAuth 2.0 简介

你可能对OAuth 2.0不太熟悉，但在很多网站上都使用过它。如今，许多网站允许使用Facebook、Twitter和Google账户的用户名和密码登录。以https://stackoverflow.com/登录页面为例，有一个登录按钮，可使用Google账户登录。点击Google按钮后，会跳转到Google登录页面，并显示一些权限信息。输入Google用户名和密码，点击“允许”按钮授予网站权限，之后Google会将你重定向到Stack Overflow，你就可以使用相应权限登录该网站了。这就是OAuth 2.0和OpenID Connect的最终用户体验。

OAuth 2.0负责处理Web、原生移动应用和所有无头服务器应用（在本文中即微服务实例）的授权。你可能会疑惑，为什么先讨论授权而不是认证。这是因为OAuth 2.0是一个委托授权框架，完成授权流程依赖于认证机制。

以下是OAuth 2.0中涉及的角色：
| 角色 | 描述 |
| ---- | ---- |
| 资源（Resource） | 防止意外访问和使用的实体，在本文中是微服务。 |
| 资源所有者（Resource owner） | 拥有资源的个人或实体，也称为最终用户。 |
| 客户端（Client） | 指所有类型的客户端应用程序，包括单页应用、Web用户界面客户端、原生移动应用，甚至是尝试访问下游其他微服务的微服务。 |
| 授权服务器（Authorization server） | 通过颁发有效令牌对最终用户进行身份验证的服务器，也可以说是对资源所有者进行身