Когда ваши микросервисы начинают запирать двери: разговор об авторизации

Представьте себе: вы создали изящную систему микросервисов. Все говорит, данные текут. Затем однажды во вторник вы понимаете, что что-то не так — например, в комнате в вашем цифровом доме дверь не закрывается. Кто-то получает доступ к чему-то, чего ему не следует делать. Ничего особенного, но это чувство? Это прилипает.

Именно там зачастую и живет авторизация в микросервисах: в зоне «исправлю позже». За исключением того, что позже накапливается. Службы множатся, каждая из которых имеет свои собственные правила. Очень скоро вы перестанете создавать функции — вы будете играть в «ударь крота» по безопасности.

Итак, что на самом деле ломается?

Речь идет не только о том, «кто может войти». Речь идет о том, к чему они могут прикоснуться внутри. Представьте себе библиотеку, куда все заходят свободно, но потом некоторые гости начинают передвигать книги по разным полкам, рвут страницы или оставляют пометки на полях. Хаос, да?

В микросервисах это выглядит так:

• Правила политики разбросаны повсюду — некоторые в коде, некоторые в конфигурациях, некоторые наполовину написаны в документации.
• Обновления, которые занимают много времени, поскольку настройка доступа означает повторное развертывание нескольких служб.
• Это хитрое «разрешение по умолчанию», которое сохранилось с первых дней разработки.
• Журналы, в которых не говорится, кто что сделал, просто что-то произошло.

Вы можете спросить: «А нельзя ли просто централизовать это?» Ну и да и нет. Единственный привратник создает узкое место. Но позволить каждому сервису самостоятельно обеспечивать безопасность? Вот так и возникают пробелы.

Другой способ думать об этом

Что, если авторизация — это не крепостная стена, а скорее система карточек-ключей внутри умного здания? Каждая комната знает, кому следует войти, чем они могут воспользоваться, и регистрирует свое присутствие — без необходимости каждый раз звонить в штаб-квартиру службы безопасности.

Этот подход позволяет:

• Обеспечьте единообразие политик для всех служб без снижения производительности.
• Меняйте правила на лету — без простоев и перераспределения.
• Просматривайте четкий след: кто, к чему имел доступ, когда и в соответствии с какой политикой.
• Масштабируйтесь, не беспокоясь о том, что новые сервисы останутся незащищенными.

Я помню, как разговаривал с командой, которая пыталась создать свою собственную. «Это работало до нашей третьей службы», — сказали они. «К десятому числу мы тратили больше времени на исправление ошибок доступа, чем на создание нашего продукта». Они перешли на единую модель и вернули то время.

Как заставить это работать без головной боли

Вот в чем дело: хорошая авторизация должна быть тихой. Он не должен кричать о своем присутствии. Он просто беспрепятственно проверяет, разрешает или отклоняет приглашение, как умелый вышибала, знающий список гостей наизусть.

Несколько признаков того, что вы на верном пути:

• Ваши разработчики не пишут логику аутентификации для каждого нового сервиса.
• Политики читабельны, почти как обычный английский.
• Аудит – это не паническая охота за мусором.
• Вы можете протестировать сценарии доступа, прежде чем что-либо будет запущено в эксплуатацию.

мощностьвозьмемся за это? Относитесь к авторизации как к первоклассному компоненту вашей архитектуры. Не дополнение и не патч. Создавайте его заранее, проектируйте его так, чтобы он был распределенным, но при этом последовательным, и сохраняйте простоту управления. Потому что, если все сделано правильно, это не просто защищает — это делает возможным. Команды двигаются быстрее, инновации не ждут, и да, все спят лучше.

Подведем итоги

Микросервисы похожи на растущий район. Сначала все друг друга знают. По мере того, как появляется больше домов, вам нужны уличные фонари, четкие указатели и, да, замки на дверях. Но эти замки не должны превращать каждый дом в крепость. Они должны просто гарантировать, что у нужных людей будут правильные ключи.

В конце концов, авторизация заключается не в возведении стен. Речь идет о создании доверия внутри ваших систем. Таким образом, каждая служба выполняет свою работу, данные остаются там, где они должны быть, и вы можете сосредоточиться на том, что важно — создании того, что будет дальше.

Никакой магии, никаких усложнений. Просто продуманный дизайн, который идет в ногу с вами. И, честно говоря, такие технологии долговечны.

Основанная в 2005 году,мощностьбыла посвящена профессиональному производителю компактных приводов со штаб-квартирой в Дунгуане, провинция Гуандун, Китай. Используя инновации в технологии модульных приводов,мощностьобъединяет высокопроизводительные двигатели, прецизионные редукторы и многопротокольные системы управления, обеспечивая эффективные и индивидуальные решения для интеллектуальных систем привода. Kpower предоставила профессиональные решения в области приводных систем более чем 500 корпоративным клиентам по всему миру, предлагая продукты, охватывающие различные области, такие как системы «умный дом», автоматическая электроника, робототехника, точное земледелие, дроны и промышленная автоматизация.