16、利用证书保障东西向流量安全

利用证书保障东西向流量安全

1. mTLS通信基础

在使用相互传输层安全（mTLS）保护的通信通道中，服务器和客户端都必须拥有有效的证书，并且双方都要信任相应证书的颁发者。当mTLS用于保障两个微服务之间的通信时，每个微服务不仅能确保传输数据的机密性和完整性，还能准确识别通信对象。

1.1 HTTPS与TLS的关系

当通过TLS与亚马逊进行通信时，浏览器地址栏会显示HTTPS而非HTTP。HTTPS基于TLS运行，依靠TLS为通信通道提供安全保障。实际上，TLS并非仅用于HTTPS，任何应用层协议都可借助TLS实现安全通信。例如，Java程序可使用Java数据库连接（JDBC）与数据库通信，为保障该连接安全，可使用TLS；电子邮件客户端若要通过安全通道与服务器通信，可使用基于TLS的简单邮件传输协议（SMTP）。

2. 创建证书保障微服务访问安全

2.1 创建证书颁发机构（CA）

在典型的微服务部署中，通常会有一个为所有微服务所信任的自有CA。可使用OpenSSL（www.openssl.org）创建CA，它是一个适用于多平台的商业级TLS工具包和加密库。在使用OpenSSL创建CA前，需准备工作环境，为CA、订单处理微服务和库存微服务分别准备密钥对，并创建如下目录结构：

> mkdir –p keys/ca
> mkdir –p keys/orderprocessing
> mkdir –p keys/inventory

按照相关步骤创建CA的公钥和私钥对，并将生成的密钥（c