5、微服务安全架构解析

微服务安全架构解析

1. 边缘授权

在认证过程中，API 网关除了要确定请求方的身份，还可以执行企业范围的访问控制策略，不过这些策略可能是粗粒度的。更细粒度的访问控制策略由微服务本身（或微服务的代理）在服务级别执行。

2. 向上下游微服务传递客户端/最终用户上下文

API 网关在边缘终止所有客户端连接，如果一切正常，它会将请求分发到相应的上游微服务。但需要保护网关与相应微服务之间的通信通道，并传递初始客户端/用户上下文。用户上下文包含最终用户的基本信息，客户端上下文包含客户端应用程序的信息，这些信息可被上游微服务用于服务级别的访问控制。

传递用户上下文到上游微服务有两种常见方法：
- HTTP 头传递 ：这种方法简单直接，但当第一个微服务通过 HTTP 头将相同的用户上下文传递给另一个微服务时，会引发信任问题，因为第二个微服务无法保证用户上下文未被篡改。
- 使用 JWT ：JWT 是一种以加密安全方式携带数据（这里是用户上下文）的签名负载。网关或连接到网关的 STS 可以创建包含用户上下文（和客户端上下文）的 JWT，并将其传递给上游微服务。接收微服务可以通过使用颁发 JWT 的 STS 的公钥验证签名来验证 JWT。

传递方法	优点	缺点
HTTP 头传递	简单直接	存在信任问题