Имеется такой вопрос, по микросервисам Практикует ли кто в качестве меры

Question

Имеется такой вопрос, по микросервисам Практикует ли кто в качестве меры

безопасности общение между микросервисами и API Gateway на основе внутреннего JWT токена (для взаимодействия между микросервисами- как отдельный токен ,помимо клиeнского токена для обращения к API Geteway) или может быть другой тип токена, OAuth2 ,etc ?

На проекте где мне доводилось видеть микросервисы за API Gateway ничего кроме https не было

Я не слышал и взломах в таких архитектурах ,но что-то кажется это не совсем безопасно

#oop #programming #russian #software #web-design

0

30.08.2023

11 ответов

2 просмотра

Sergey P

Arthur Irgashev
в смысле зачем ? Ещё и хттпс нужен

Mtls, service mesh, Zanzibar, какие ещё кейворды добавить

0

8 месяцев назад

Aleksandr Zharkov

У нас все коммуникации между сервисами также закрыты аутентификацией через токен, только аутентификация идёт через clientid/Client secret. Ну и apigateway у нас не проверяет аутентификацию, он вообще по сути сейчас как reverse proxy используется для роутинга и ограничения количества запросов от одного внешнего клиента. Внутренняя коммуникация сервисов идёт напрямую без gateway. Не уверен, что у нас сейчас лучшая архитектура, но вполне работает. Регулярные pentests проходит.

0

8 месяцев назад

Ivan Rasikhin

Aleksandr Zharkov
У нас все коммуникации между сервисами также закры...

У меня сейчас как раз стоит архитектурный вопрос как делать авторизацию сервисов, через гейтвей или в самих сервисах. И там и там свои плюсы/минусы, поэтому выбор сложный)

0

8 месяцев назад

Max Grom

Ivan Rasikhin
У меня сейчас как раз стоит архитектурный вопрос к...

Чем меньше вы цепляете обязанностей на сервис - тем легче. Авторизация - такая же обязанность

0

8 месяцев назад

Ivan Rasikhin

Max Grom
Чем меньше вы цепляете обязанностей на сервис - те...

Есть авторизация, завязанная на контекст сервиса, гейтвей ничего про контекст не знает

0

8 месяцев назад