EDA архитектура с ApiGateway, который по grpc перенаправляет вызовы на микросервисы. Kafka в качестве шины передачи. Все сообщения между ApiGw и микросервисами - внутри экосистемы и более никому не доступны. Если учитывать то, что сервера, на которых располагаются микросервисы могут часто меняться (управляться, например, k8s), то как эти соединения авторизовываются? С сертификатами все хорошо, если у нас ip адрес не меняется. Как быть с динамическими адресами?
1 ответ
Для авторизации и аутентификации микросервисов при использовании динамических адресов можно использовать токены доступа (access tokens).
Для этого в момент запуска микросервиса, он может отправить запрос на авторизацию к авторизационному сервису, передав в запросе свой идентификатор и секретный ключ. Авторизационный сервис может проверить идентификатор и секретный ключ и вернуть токен доступа, который будет использоваться микросервисом для аутентификации при запросах к ApiGateway.
ApiGateway в свою очередь, может проверять токен доступа при получении запроса от микросервиса и разрешать или запрещать доступ в зависимости от результатов проверки токена.
Для обновления токена доступа при изменении адреса микросервиса, можно использовать механизмы автоматического обновления токенов, например, через механизмы токенов с ограниченным сроком действия или через периодическое обновление токенов.
Также можно использовать протоколы аутентификации и авторизации, такие как OAuth2 или OpenID Connect, которые позволяют эффективно управлять авторизацией и аутентификацией в распределенных системах и с динамическими адресами микросервисов.