从几个地方入手，保障微服务应用安全
发布时间：2022-05-26 09:41:19 所属栏目：安全 来源：互联网
导读：随着计算机、互联网技术的飞速发展，信息安全已然是一个全民关心的问题，也是各大企业非常重视的问题。企业一般会从多个层次着手保障信息安全，如：物理安全、网络安全、系统安全(主机和操作系统)、应用安全等。 1.身份认证 多数业务功能类的应用的首要任务
|
随着计算机、互联网技术的飞速发展，信息安全已然是一个全民关心的问题，也是各大企业非常重视的问题。企业一般会从多个层次着手保障信息安全，如：物理安全、网络安全、系统安全(主机和操作系统)、应用安全等。 1.身份认证 多数业务功能类的应用的首要任务就是需要做身份认证。对于数据公开或新闻发布类的门户网站类应用不需要考虑这一点，他们更关注的是数据开放之前的管理和审批。 身份认证或身份验证(Authentication)，顾名思义就是对应用程序的"访问者"的身份进行验证识别。访问者分两类。 基于用户登录的客户端(Login-based Client)：用户访问服务提供者的应用程序的功能时，需要通过一个客户端交互界面来与服务提供者交互，用户需要先登录，然后由客户端代表用户身份去访问服务提供者应用程序。 API 客户端(API Client)：客户端程序类型的访问者，这类客户端自身具备部分API的访问权限，不需要用户授予其访问权限。 1. 使用认证管理系统IAM进行访问者注册认证 不论是用户还是API客户端，在访问应用之前，均需要先到认证管理系统IAM进行注册，以创建其的身份凭证(用户账号和密码、客户端ID和密码)。有了身份凭证，才能通过认证服务的验证。 统一认证管理系统IAM(Identity and Access Management )负责身份识别和访问管理，其核心业务是应用系统的访问者的注册、账号密码凭证、访问者基本信息的管理、对已注册的访问者进行合法性认证和访问的初级授权(获取访问者自身数据)等等。 有些企业还会将组织机构、角色甚至业务功能权限数据也一并归入IAM系统管理。IAM对权限管理范围可大可小，不同企业的管理需求和力度也不一样，需要集中进行功能授权管理还是下放到业务系统中自治各有优缺点，选择合适自己的方式就好。 2. IAM认证管理系统使用OAuth2.0进行访问者授权 传统WEB应用对于用户登录访问，采用会话状态在服务端保存的方案，用户请求通常采用会话粘滞(Sticky session)或会话复制(Replication session)策略，来保持客户端和服务端的会话。为了会话共享而不得不将会话信息写入公共缓存或数据库，导致微服务应用之间产生了耦合性。 微服务架构中不推荐采用服务端保存会话的方式，如果引入状态管理不是必要的，那么应用尽量保持无状态运行。推荐使用另外一种基于访问令牌的模式，这种模式下应用中不需要保存会话状态，并且API客户端和基于登录的客户端均方便使用访问令牌。微服务架构推荐使用OAuth2.0 授权协议来搭建IAM系统。Spring 体系可以基于Spring Security OAuth实现授权服务器和客户端。 （编辑：应用网_丽江站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
浙公网安备 33038102330468号