Как реализовать аутентификацию в микросервисной архитектуре?

В микросервисах аутентификация обычно строится вокруг централизованного поставщика удостоверений (IdP) и модели, ориентированной на токен (чаще всего OAuth2/OIDC + JWT). Это позволяет масштабировать доступ без дублирования логики входа в каждый сервис.

Каноническая диаграмма:

1. Клиент входит в IdP (или службу аутентификации).

2. Получает токен доступа (и, при необходимости, токен обновления).

3. Передаёт токен доступа в запросах к API-шлюзу/сервисам.

4. Сервисы проверяют токен (подпись, срок действия, эмитент, аудитория, области применения).

Где проверить:

1. На шлюзе API

• первоначальная проверка токена и блокировка несанкционированного трафика.

1. В каждой службе (глубокоэшелонированная оборона)

• повторная проверка критических претензий/прав доступа;

• не полагайтесь только на периметр.

Что должно быть в токене:

1. Идентификатор пользователя/субъекта (sub).

2. Роли/области деятельности/права (необходимый минимум).

3. iss, aud, exp, iat для проверки безопасного контекста.

Ключевые практики обеспечения безопасности:

1. Короткий TTL для токена доступа.

2. Регулярная ротация ключей подписи (JWKS).

3. TLS везде (трафик север-юг и восток-запад).

4. Принцип наименьших привилегий для областей/ролей.

5. Четкое разделение аутентификации (кто вы) и авторизации (что вы могу сделать).

Для обслуживания для обслуживания:

1. Используйте отдельные учетные данные компьютера (учетные данные клиента, mTLS, сервисные личность).

2. Не сбрасывайте токены пользователей без необходимости глубоко в систему.

Заключение:

Надежная аутентификация в микросервисах — это централизованный IdP, токены с корректной проверкой на всех критических границах и дисциплина безопасности (TTL, ротация ключей, минимальные привилегии, TLS, эшелонированная защита).

Пример:

Пример

func AuthMiddleware(next http.Handler) http.Handler {
	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
		tok := strings.TrimPrefix(r.Header.Get("Authorization"), "Bearer ")
		claims, err := verifyJWT(tok)
		if err != nil {
			http.Error(w, "unauthorized", http.StatusUnauthorized)
			return
		}

		ctx := context.WithValue(r.Context(), userClaimsKey{}, claims)
		next.ServeHTTP(w, r.WithContext(ctx))
	})
}

Итог

В микросервисах аутентификация обычно строится вокруг централизованного поставщика удостоверений (IdP) и модели, ориентированной на токен (чаще всего OAuth2/OIDC + JWT).