내 마이크로 서비스 기반 아키텍처를위한 중앙 JWT 관리 시스템

Question

우리는 우리의 응용 프로그램을 구현하기 위해 마이크로 서비스 기반 아키텍처에 우리의 응용 프로그램을 구축하고 있습니다. 마이크로 서비스와 마찬가지로, 서비스간에 많은 상호 서비스 상호 작용이 발생합니다.

엔드 포인트를 보호하기 위해 이러한 보안 교환간에 JWT 기반 인증을 구현할 계획입니다.

우리는 우리가 그것을 달성 할 수 있도록 참조 2 개 방법이 있습니다

1. 삽입 토큰 (@consumer 쪽)을 ​​생성하고 (측면 @provider) 평가하기 위해 각 응용 프로그램에서 JWT 엔진. 키의 초기 교환으로 토큰 교환은 이후의 모든 통신에 대해 원활하게 작동합니다.
2. 분산 응용 프로그램의 모든 마이크로 서비스 통신 사이에 위치하며 응용 프로그램의 암호화 - 해독 및 유효성 검사를 포함하여 모든 토큰 수명주기를 처리하는 외부 (응용 프로그램 용) JWT 엔진이 있어야합니다.

https://jwt.io에 나와 있지만, 오버 헤드 토큰 생성 및 관리를 고려하는 것은 마이크로 서비스에 추가로 옵션 # 1에 따라 그것을 할 수있는 옵션이 많이 있습니다, 우리는 드함으로써 두번째 옵션으로 이동하는 것을 선호 - 중앙 집중식 게이트웨이.

다양한 API 게이트웨이를 살펴본 끝에 우리는 우리의 필요에 부응 할 수있는 가벼운 솔루션/도구를 발견하지 못했으며 많은 마이크로 서비스로 구성된 하나의 응용 프로그램에 중앙 집중식 엔진을 사용할 수있게되었습니다.

누구나 그런 도구/솔루션에 대해 알고 있습니까?

이 방법에 대한 다른 의견이 있으면 알려주십시오.

Answer 1

또한 옵션 2를 선호하지만, 당신은 왜 프레임 워크를 찾고 있습니다?

중앙 응용 프로그램은 개인 키 관리 및 토큰 발급에 대해서만 책임을집니다. 하나의 서비스를 해결하기위한 프레임 워크를 포함하는 것은 과도 할 수 있습니다

또한 유효성 검사 서비스를 구현한다고 생각할 수도 있지만 응용 프로그램이 당신 것이기 때문에 비대칭 키를 사용하고 원격 인증 요청을 중앙에서 실행하는 대신 로컬에서 토큰을 확인하는 것이 좋습니다 신청. 마이크로 서비스에 간단한 라이브러리를 제공하여 키를 다운로드하고 유효성 검증을 수행 할 수 있습니다. JWT.io의 라이브러리를 포함하거나 처음부터 빌드하십시오. JWT를 검증하는 것은 매우 간단합니다.

예를 들어 블랙리스트를 사용하여 만료 시간 전에 토큰을 거부해야한다면 중앙 서비스가 필요합니다. 그러나 JWT 무국적자를 없애기 때문에이 계획을 권장하지 않습니다.

Answer 2

두 시나리오 모두 Spring Cloud Zuul에서 구현 될 수 있습니다. 더 많은 정보를 들어

: http://cloud.spring.io/spring-cloud-static/Brixton.SR7/#_router_and_filter_zuul http://cloud.spring.io/spring-cloud-static/Brixton.SR7/#_configuring_authentication_downstream_of_a_zuul_proxy