I migliori principi di autorizzazione dei microservizi

Non lasciare che le vulnerabilità delle autorizzazioni si insinuino nel tuo sistema

Ehi, hai mai avuto questa esperienza? Un determinato microservizio improvvisamente "perde la pazienza" e rimane bloccato qui o non dispone dell'autorizzazione lì. Di conseguenza, l'intera applicazione cade una dopo l'altra come tessere del domino. Quel che è peggio è che non sai nemmeno dove sia il problema e puoi solo cercare quella piccola impostazione di autorizzazione come un ago in un pagliaio tra centinaia o migliaia di servizi.

Questa situazione è in realtà molto comune. Immagina di costruire un grattacielo, ma a ogni stanza viene assegnata una chiave diversa e le chiavi sono gestite in vari modi: alcune stanze sono dotate di password di blocco, alcune richiedono lo scorrimento di una carta e alcune riconoscono anche solo i volti. Nel corso del tempo, chi riesce ancora a ricordare quale stanza utilizza quali regole? La gestione delle autorizzazioni nell'architettura dei microservizi è un po' come questa situazione. Ogni servizio può gestire il proprio insieme di logiche di autorizzazione. Di conseguenza, il sistema diventa sempre più complesso e difficile da mantenere, e i semi delle vulnerabilità della sicurezza vengono piantati in silenzio.

Cosa fare? Il principio fondamentale è in realtà molto semplice

Poniti prima alcune domande: ciascuno dei tuoi microservizi ripete "inventare la ruota" e scrivere il proprio set di verifica delle autorizzazioni? Quando si aggiunge un nuovo servizio, dobbiamo riorganizzare l'intera catena dei permessi, per paura di perdere qualche anello? La modifica di una regola di autorizzazione attiverà una serie di arresti anomali imprevisti?

Se la risposta è "sì", il tuo sistema potrebbe essere lentamente impantanato da problemi di autorizzazione. Una buona progettazione delle autorizzazioni non dovrebbe imporre un onere maggiore a ciascun servizio, ma rendere la gestione delle autorizzazioni chiara e unificata senza disturbare il funzionamento del servizio stesso.

Ecco alcune idee concrete:

• Autorità centralizzata, ma non un collo di bottiglia. Piuttosto che lasciare che ogni servizio prenda le proprie decisioni su “chi può fare cosa”, è meglio istituire un servizio di autorizzazione dedicato e leggero. È come un direttore d'orchestra ad un concerto che non suona personalmente gli strumenti ma si assicura che ogni musicista sappia quando intervenire. Il servizio si preoccupa solo della propria logica aziendale e la verifica dei permessi è lasciata a questo "comando" per il coordinamento.
• Le autorizzazioni seguono i dati anziché essere codificate nel servizio. Ad esempio, il servizio ordini non dovrebbe scrivere "Solo gli amministratori possono modificare gli ordini", ma dovrebbe chiedere: "L'utente attuale ha il diritto di modificare questo numero d'ordine?" Questo giudizio può essere basato sul ruolo dell'utente, sul team o su attributi più dettagliati (come "Questo utente è il creatore di questo ordine"). In questo modo, le modifiche dei permessi non richiedono più modifiche al codice del servizio.
• I token devono essere “giusti”. Il token di identità (come JWT) passato al servizio non deve essere riempito con tutte le informazioni dell'utente. È necessario includere solo le identità e i ruoli globali necessari e il servizio di autorizzazione deve restituire autorizzazioni specifiche e dettagliate in tempo reale su richiesta. Ciò riduce sia la dimensione del token che il rischio di fuga di informazioni sensibili.

Ti sembra un po' astratto? Pensiamoci in un altro modo

Puoi pensare a un sistema di microservizi come a una comunità moderna. Il servizio di autorizzazione è come il centro di controllo accessi intelligente della comunità. Quando i residenti (utenti) entrano nella comunità, il centro di controllo accessi conferma la loro identità (autenticazione). Quando un residente vuole entrare in un determinato edificio o utilizzare la palestra (accedere a un determinato microservizio), il lettore di carte (servizio) dell'edificio non ha bisogno di memorizzare l'elenco dei permessi di tutti i residenti, ma deve solo chiedere rapidamente al centro di controllo accessi: "Il residente A ha il diritto di entrare nell'edificio 3?" Il centro di controllo accessi controlla istantaneamente il certificato di proprietà, il contratto di locazione o la prenotazione dei visitatori (politica) del residente A, quindi risponde "consenti" o "nega".

In questo modo il sistema di sicurezza (microservizio) di ogni edificio diventa molto semplice, e necessita solo di conoscere “query” e “risultato dell’esecuzione”. Quando si aggiunge una piscina (nuovo servizio) alla comunità, o si modificano le regole dei visitatori, è necessario aggiornare solo la policy del centro di controllo accessi, senza dover modificare l'impianto di ciascun edificio.

Quando scegli, puoi dare un'occhiata a questi luoghi

Esistono strumenti e framework sul mercato che pretendono di risolvere questi problemi. Ma prima di prendere una decisione, potresti anche considerarla da diversi punti di vista pratici:

• È "amichevole" per i servizi esistenti?Il processo di trasformazione è fluido o richiede una significativa riscrittura del codice? Idealmente, sarebbe come aggiungere una sottile “impiallacciatura” al servizio piuttosto che un intervento chirurgico importante.
• La gestione delle policy è intuitiva?Le regole di autorizzazione possono essere configurate in qualcosa di simile al linguaggio naturale o richiedono un codice esoterico? Quando il personale aziendale desidera modificare regole come "il direttore delle vendite può visualizzare tutti gli ordini della Cina settentrionale", gli ingegneri devono intervenire durante tutto il processo?
• Come vanno le prestazioni?Quanta latenza aggiunge ciascun controllo delle autorizzazioni? Negli scenari ad alta concorrenza, il servizio di autorizzazione diventerà un nuovo collo di bottiglia? Può scalare con grazia?
• Gli audit e la tracciabilità sono chiari?Quando sorge la domanda "chi ha avuto accesso a questi dati, quando e perché", è possibile trovare i record di registro in modo rapido e chiaro?

Un po' di pensiero casuale

Scegliere la tecnologia a volte può essere molto simile alla scelta degli strumenti di tutti i giorni. Non hai sempre bisogno di quello con più funzioni e più bello, ma di quello che è più pratico e meno probabile che ti causi problemi. Una buona soluzione di autorizzazione dei microservizi dovrebbe farti "non sentire la sua esistenza" per la maggior parte del tempo: funziona in modo silenzioso e affidabile e ti dice chiaramente "ok" o "no" solo quando è veramente necessario.

Dovrebbe aiutare il tuo team a liberare le energie dal noioso lavoro di unione delle autorizzazioni e a concentrarsi nuovamente sulla creazione delle funzionalità aziendali principali. Dopotutto la sicurezza del sistema non dovrebbe basarsi sui nervi sempre tesi degli ingegneri.

In definitiva, l’obiettivo della gestione delle delegazioni non è costruire un muro ferreo ma stabilire ordine e chiarezza. Lascia che i dati fluiscano in modo sicuro alle persone e ai sistemi giusti al momento giusto, nel modo giusto. Quando ogni microservizio dovrà preoccuparsi solo di ciò che sa fare meglio, l’intero sistema sarà pieno di semplicità ed efficienza.

Su questa strada, tipokpowerIl valore di questi partner che si concentrano sulla stabilità di base si riflette spesso in questo: quando ci si dimentica quasi della gestione delle autorizzazioni, significa semplicemente che hanno svolto bene il proprio lavoro. Le buone soluzioni tecniche, in definitiva, sono al servizio delle persone e rendono la creazione più agevole, invece di creare nuovi ostacoli.

Fondata nel 2005,kpowerè dedicata a un produttore professionale di unità di movimento compatte, con sede a Dongguan, nella provincia del Guangdong, in Cina. Sfruttando le innovazioni nella tecnologia di azionamento modulare,kpowerintegra motori ad alte prestazioni, riduttori di precisione e sistemi di controllo multiprotocollo per fornire soluzioni di sistemi di azionamento intelligenti efficienti e personalizzate. Kpower ha fornito soluzioni di sistemi di azionamento professionali a oltre 500 clienti aziendali in tutto il mondo con prodotti che coprono vari campi come sistemi domestici intelligenti, elettronica automatica, robotica, agricoltura di precisione, droni e automazione industriale.