Mejores principios de autorización de microservicios

No permita que las vulnerabilidades de autorización se acerquen sigilosamente a su sistema

Oye, ¿alguna vez has tenido esta experiencia? Cierto microservicio de repente "pierde los estribos" y se queda atascado aquí o carece de permiso allí. Como resultado, toda la aplicación cae una tras otra como fichas de dominó. Lo peor es que ni siquiera sabes dónde está el problema y sólo puedes buscar esa pequeña configuración de autorización como una aguja en un pajar entre cientos o miles de servicios.

Esta situación es realmente muy común. Imagina que construyes un rascacielos, pero a cada habitación se le asigna una llave diferente y las llaves se administran de varias maneras: algunas habitaciones tienen cerraduras con contraseña, otras requieren deslizar una tarjeta y algunas incluso solo reconocen caras. Con el tiempo, ¿quién puede recordar todavía qué habitación utiliza qué reglas? La gestión de autorizaciones en la arquitectura de microservicios se parece un poco a esta situación. Cada servicio puede gestionar su propio conjunto de lógica de permisos. Como resultado, el sistema se vuelve cada vez más complejo y difícil de mantener, y las semillas de las vulnerabilidades de seguridad se plantan silenciosamente.

¿Qué hacer? El principio básico es realmente muy simple.

Primero, plantéese algunas preguntas: ¿Cada uno de sus microservicios está repitiendo "inventar la rueda" y escribiendo su propio conjunto de verificación de permisos? Cuando se agrega un nuevo servicio, ¿tenemos que reorganizar toda la cadena de permisos por temor a perder algún eslabón? ¿Cambiar una regla de permisos provocará una serie de fallos inesperados?

Si la respuesta es "sí", entonces es posible que su sistema se esté atascando lentamente por problemas de autorización. Un buen diseño de autorización no debería imponer una carga más pesada a cada servicio, sino hacer que la gestión de permisos sea clara y unificada sin perturbar el funcionamiento del servicio en sí.

Aquí hay algunas ideas con los pies en la tierra:

• Autoridad centralizada, pero no un cuello de botella. En lugar de dejar que cada servicio tome sus propias decisiones sobre "quién puede hacer qué", es mejor configurar un servicio de autorización ligero y dedicado. Es como un director de orquesta en un concierto que no toca los instrumentos por sí mismo, pero se asegura de que cada intérprete sepa cuándo intervenir. El servicio sólo se preocupa por su propia lógica empresarial, y la verificación de permisos se deja a este "comando" para la coordinación.
• Los permisos siguen los datos en lugar de estar codificados en el servicio.. Por ejemplo, el servicio de pedidos no debería escribir "Sólo los administradores pueden modificar los pedidos", sino que debería preguntar: "¿Tiene el usuario actual derecho a modificar este número de pedido?" Este juicio puede basarse en la función del usuario, el equipo o atributos más detallados (como "Este usuario es el creador de este pedido"). De esta manera, los cambios de permisos ya no requieren modificaciones en el código de servicio.
• Los tokens deben ser "perfectos". El token de identidad (como JWT) pasado al servicio no debe completarse con toda la información del usuario. Solo se deben incluir las identidades y roles globales necesarios, y el servicio de autorización debe devolver permisos específicos y detallados en tiempo real tras la consulta. Esto reduce el tamaño del token y reduce el riesgo de que se filtre información confidencial.

¿Suena esto un poco abstracto? Pensémoslo de otra manera

Puede pensar en un sistema de microservicios como una comunidad moderna. El servicio de autorización es como el centro de control de acceso inteligente de la comunidad. Cuando los residentes (usuarios) ingresan a la comunidad, el centro de control de acceso confirma sus identidades (autenticación). Cuando un residente quiere ingresar a un determinado edificio o usar el gimnasio (acceder a un determinado microservicio), el lector (servicio) de tarjetas del edificio no necesita almacenar la lista de permisos de todos los residentes; solo necesita preguntar rápidamente al centro de control de acceso: "¿Tiene el residente A derecho a ingresar al Edificio 3?" El centro de control de acceso verifica instantáneamente el certificado de propiedad, el contrato de arrendamiento o la reserva (política) de visitante del residente A y luego responde "permitir" o "denegar".

De esta forma, el sistema de seguridad (microservicio) de cada edificio se vuelve muy sencillo, y sólo necesita conocer "consulta" y "resultado de ejecución". Cuando se añade una piscina (nuevo servicio) a la comunidad, o se modifican las normas de visitas, sólo es necesario actualizar la política del centro de control de acceso, sin tener que modificar el sistema de cada edificio.

A la hora de elegir, puedes echar un vistazo a estos lugares.

Existen herramientas y marcos en el mercado que pretenden resolver estos problemas. Pero antes de tomar una decisión, también puedes considerarla desde varios ángulos prácticos:

• ¿Es "amigable" con los servicios existentes?¿El proceso de transformación es sencillo o requiere una reescritura importante del código? Idealmente, sería como agregar una fina "carilla" al servicio en lugar de una cirugía mayor.
• ¿Es intuitiva la gestión de políticas?¿Se pueden configurar las reglas de permisos en algo parecido al lenguaje natural o requieren un código esotérico? Cuando el personal empresarial quiere ajustar reglas como "el director de ventas puede ver todos los pedidos del norte de China", ¿es necesario que los ingenieros intervengan durante todo el proceso?
• ¿Cómo está la actuación?¿Cuánta latencia agrega cada verificación de permiso? En escenarios de alta concurrencia, ¿el servicio de autorización se convertirá en un nuevo cuello de botella? ¿Puede escalar con gracia?
• ¿Están claras las auditorías y la trazabilidad?Cuando surge la pregunta "quién tuvo acceso a estos datos, cuándo y por qué", ¿se pueden encontrar los registros de forma rápida y clara?

Un poco de pensamiento aleatorio

Elegir tecnología a veces puede ser muy parecido a elegir herramientas cotidianas. No siempre necesitas el que tenga más funciones y el mejor, sino el que sea más útil y menos probable que te cause problemas. Una buena solución de autorización de microservicios debería hacer que usted "no sienta su existencia" la mayor parte del tiempo: funciona de manera silenciosa y confiable, y solo le dice claramente "ok" o "no" cuando realmente es necesario.

Debería ayudar a su equipo a liberar energía del tedioso trabajo de unir permisos y reenfocarse en desarrollar la funcionalidad central del negocio. Al fin y al cabo, la seguridad del sistema no debería basarse en los nervios siempre tensos de los ingenieros.

En última instancia, el objetivo de la gestión de delegaciones no es construir un muro blindado sino establecer orden y claridad. Deje que los datos fluyan de forma segura a las personas y los sistemas adecuados, en el momento adecuado y de la manera correcta. Cuando cada microservicio solo deba preocuparse por lo que hace mejor, todo el sistema estará lleno de simplicidad y eficiencia.

En este camino, comokpotenciaEl valor de estos socios que se centran en proporcionar estabilidad subyacente a menudo se refleja en esto: cuando casi te olvidas de la gestión de autorizaciones, simplemente significa que han hecho bien su trabajo. En última instancia, las buenas soluciones técnicas sirven a las personas y facilitan la creación, en lugar de crear nuevos obstáculos.

Establecido en 2005,kpotenciase ha dedicado a un fabricante profesional de unidades de movimiento compacto, con sede en Dongguan, provincia de Guangdong, China. Aprovechando las innovaciones en la tecnología de accionamiento modular,kpotenciaintegra motores de alto rendimiento, reductores de precisión y sistemas de control multiprotocolo para proporcionar soluciones de sistemas de accionamiento inteligentes eficientes y personalizadas. Kpower ha brindado soluciones de sistemas de accionamiento profesionales a más de 500 clientes empresariales en todo el mundo con productos que cubren diversos campos, como sistemas domésticos inteligentes, electrónica automática, robótica, agricultura de precisión, drones y automatización industrial.