[budyn]

Jak zabezpieczacie komunikacje mikroserwisów w sieci lokalnej?

Dotychczasowo mieliśmy tak, że był sobie secure API Gateway (JWT + api keye itp) wystawiony do internetu i on logował usera, sprawdzał te tokeny itp. a reszta pod spodem już banglała 'na golasa'. Ktokolwiek miał dostęp do sieci wewnętrznej mógł zrobić bez problemu kuku (nigdy się nie wydarzyło na szczęście). Tzn. wewnętrzne serwisy już nie miały żadnej warstwy zabiezpieczenia.

Mamy nowy projekt i się zastanawiamy jak to usprawnić tanio ( ͡° ͜ʖ ͡°)

#programista15k #programowanie

[wari4t]

@budyn: w kubernetesie sa od tego polityki ingress/egress dla namespacow

[whoru]

taktyk

[TheDudee]

@budyn: jwt secret w config server, commonsowy lib do parsowania tokena tak aby każdy moduł parsował go w ten sam sposób. Wtedy każdy moduł weryfikuje poprawność jwt u siebie.

[mch0588]

@budyn: możesz tokenem. Token może zawierać informację, że serwis A może łączyć się z serwisem B. Zaleta jest taka, że macie kontrolę nad tym, który serwis i skąd może ciągnąć dane. Inne opcja to API Key, każdy serwis ma swój własny i przesyłacie go z requestem. Mieliśmy kilka serwisów, do których musieliśmy się autoryzować za pomocą Active Directory i Kerberosa ale tego bym nie polecał( ͡° ͜ʖ ͡°

[mcnight95]

@budyn: service mesh i zero trust, u nas korzystamy z istio

[villager]

@budyn: tak jak kolega wyzej mowi warto skonfigurowac service mesha i nie zasmiecac sobie tym kodu aplikacji