Имеется одно приложение, представляющее из себя RESTfull сервис, назовем его сервисА (хранит польователей и зарегистрированые сервисы). Второй сервис (сервисБ) использует сервисА для поиска пользователей. На нем хранятся их роли. И есть UI с обычной формой входа, куда пользователь вводит логин\пароль. Все сервисы на Java Spring.
То есть логин и пароль попадают в сервисБ, который делает запрос на аутентификацию в сервисА, если А подтверждает аутентификацию, то сервисБ смотрит роли этого пользователя и разрешает\запрещает ему делать определенные действия. Напрямую пользователь в сервисА обращаться не должен.
Интересно, какие протоколы использовать для обеспечения защиты такой архитектуры? Вроде похожее взаимодействие описывает OAuth2, но в нем, насколько я понимаю, пользователь образщается к сервисуА и там получает уже права на действия в сервисеБ, так ли это?