Каждый не знает о существовании другого, максимум эмитит ивенты через брокера
- К этим сервисам можно обратиться только через сервис "api" который торчит наружу.
- этот же сервис (апи) так же подключен к сервису авторизации, в моем кейсе это Keycloak
Вопрос: Насколько безопасно не подключать каждый микросервис который содержит некое состояние (posts,comments, ...etc) напрямую к условному keycloak?
Keyocloak другим сервисам в твоём случае видимо нужен, чтобы проверять авторизацию. Как у вас устроен логин? Что возвращает keycloak в ответ на успешный логин?
Проблем с точки зрения поведения нету - приложение работает как задуманно. Меня только бесопокоит вопрос безопасности и насколько вообще это адекватная практика. Везде в интернете все в гайдах подключают каждый микросервис к SSO провайдеру. Мне же не очень понравилось в каждый микросервис тащить несколько зависимостей и одну и ту же логику. Теперь сижу и думаю а насколько это правильное решение с точки инфосека в рамках кубернетесовского кластера, ведь гипотетически если кто то получит доступ к контейнеру в котором есть условный curl то он сможет без проблем получить любые данные с каждого микросервиса который не подключен к keycloak.
Обсуждают сегодня