15、微服务安全：API 网关访问控制与 mTLS 通信保障

微服务安全：API 网关访问控制与 mTLS 通信保障

在微服务架构中，保障服务的安全性和高效性至关重要。本文将介绍如何使用 Open Policy Agent（OPA）在 API 网关实施访问控制策略，以及如何利用相互传输层安全（mTLS）保护微服务之间的通信。

1. 使用 Open Policy Agent 在 API 网关实施访问控制策略

传统上，使用 OAuth 2.0 范围控制微服务访问时，需要修改服务代码，这种做法不利于应对不断变化的业务需求。而 Open Policy Agent（OPA）是一个轻量级的通用策略引擎，不依赖于微服务，可以将访问控制策略外部化，并在请求或响应路径的任何点实施这些策略。

以下是使用 OPA 在 API 网关控制对订单处理微服务访问的步骤：
1. 运行 OPA 作为 Docker 容器
- 首先，确保 Docker 已安装并运行。从 https://github.com/microservices-security-in-action/samples 的 chapter05/sample03 下载示例。
- 在 chapter05/sample03 目录下，使用命令行客户端执行以下命令启动 OPA Docker 容器：

sh run_opa.sh

- 若 OPA 容器成功启动，终端窗口将显示如下消息：

{
  "addrs": [
    ":8181