实施OAuth2.0以保护微服务架构

Question

我已经寻找了好几周的时间，以找到一种使用OAuth2使用微服务架构保护我的应用程序的方法，但找不到任何有用的材料。

如果您能帮助我，我将不胜感激。

Answer 1

一个常见的选择是使用2级API：

• 外部世界连接到针对特定客户的入口点API，例如，在线销售UI / B2B合作伙伴
• 入口点API可能会调用许多专注于域功能（产品/客户/库存）的微服务

在安全方面：

• 入口点API需要OAuth令牌
• 他们验证令牌并获得索赔
• 他们协调对微服务的呼叫
• 微服务位于锁定的虚拟私有云中
• 微服务不使用OAuth安全性
• 微服务可能通过标头接收OAuth声明

在这种类型的设置中，微服务需要适当地锁定-通常没有人应该能够在登台或PROD中直接访问它们-尽管出于质量检查的目的，您可能会在管道的早期阶段设置例外。

当然，从安全的角度来看，您的利益相关者也需要签名以确认是否可以接受。

在我的blog post中，我有一些进一步的想法，尽管我还处于大规模应用此方法的初期。

Answer 2

here，您可以找到complete example的实现微服务架构， 这可以帮助您:)