たとえば、誰かがあなたのAPIキーを取得しているとします。突然、彼らはあなたの内部マイクロサービスのすべてにアクセスできます - 無料のルーティング、質問なし。あなたが何か間違っていることに気づいた時点で、彼らはすでにデータをシフンし、あなたが決して与えることを意図したことのないすべての許可を行使し、あなたに重い請求とさらに重いタスクを残しました:顧客の信頼を再構築します。 どうしてこのような侵害が起きるのか? ほとんどのマイクロサービスが、単に同じネットワークに座っているだけで、互いに信頼できると思っているからだ。 In simple terms: 
 
 盗まれた鍵は盗人のパスポートになります。 盗まれた鍵は盗人のパスポートになります。 以前は、単一のアプリケーションと単一のデータストア、および単一のネットワーク周辺で、すべてがローカルなデータセンターでオンプレミスで実行されていたため、セキュリティはより単純でした。 しかし、あなたがマイクロサービスに切り替えると、すべてが変わりました。今では、多くの(数十)アプリケーション/サービス、何百ものAPI、そして多くの異なるチームが毎日コードをリリースしています。 あなたの建築設計は成長し、進化したが、あなたの「安全」の考え方はそうではない。あなたの家は今、広く開いているように見える。誰でも、玄関ドアの鍵を手に入れることができる人は、どの部屋にも入り、すべてのドアを開けて、建物内のすべての安全なドアを開けることができます。 The Philosophy That Changed The Way Of Thinking About Architecture: Zero Trust 建築について考える方法を変えた哲学:ゼロの信頼 ゼロ信頼は、セキュリティトレンドの向上ではなく、信頼について考える方法の変化です。 以前は「信頼するが、検証する」と言っていたが、この原則は単に「決して信頼しないで、常に検証する」とまとめられる。 すべての接続(ユーザー、サービス、内部ネットワーク)は、自分自身を識別し、何ができるかを示し、接続が安全かどうかを示す必要があります。 基本的に、マイクロサービスのMutual TLSは、いずれも互いに通信することができる前に、サービス接続のすべての通信は、Mutual TLS(mTLS)の使用によって確認されます。 API ベースの許可は、ファイアウォールベースの許可を置き換えています. Each call/transaction is being verified login. 私たちは、ゼロ信頼の原則を満たすために、私たちがどのように構築するか、そして私たちがどのように私たちのアーキテクチャ内で何を信頼するかを再考する必要がありましたが、そうすることにより、私たちはより安全なシステムに到達しました。 
 
 私たちのシステムはゼロ信頼により現在より安全であり、内部や外部のアーキテクチャにおける他のサービスの設計、コミュニケーション、信頼の方法が変わりました。 私たちのシステムはゼロ信頼により現在より安全であり、内部や外部のアーキテクチャにおける他のサービスの設計、コミュニケーション、信頼の方法が変わりました。 Zero Trust: Not Optional — Not Anymore ゼロ信頼: オプションではありません - もはやありません あなたはゼロ信頼なしでマイクロサービスを実行していますか? あなたが長時間待つと、あなたのビジネスは後退するのではなく、壁にぶつかるかもしれません。今はあなたのシステムが停滞する前に、始める時です。私たちの独自の展開は無欠陥ではありませんでした。 私たちは中断に対処し、開発者の抵抗を押し、途中でいくつかの難しいレッスンを学びました。 しかし、6ヶ月後、私たちはそれを発送しました - そして、セキュリティがあなたが突っ込むことではないことを証明しました。 Solution/Tools 以下は、ネットワークに基づく信頼モデルをアイデンティティに基づく信頼モデルに移行するために使用した技術の一部です。 
 
 
 
 
 
 
 サービスアイデンティティ:SPIFFE/SPIRE service mesh/service-to-service 暗号化通信: Istio mTLS オープン・ポリシー・エージェント(openpolicyagent.org) アクティブな秘密管理、ダイナミックな秘密管理: HashiCorp Vault ダイナミック脅威分析:ファルコ Rate-Limiting, Audit Logging, OAuth2: Kong API Gateway Optimization 
 
 
 
 OPAの決定はキャッシュ(Redis/Caffeine)です。 Connection Pooling for mTLS について Kafkaの監査記録は、アシンクロンで書き換えられています。 次に、アイデンティティが検証され、mTLSが使用され、秘密がアプリケーション内で回転される方法を含むJavaベースのマイクロサービスアプリケーションのゼロ信頼モデルの実装について説明します。 JWT Identity Service を利用する 各サービスはそのアイデンティティを取得します。RSA-256キーを使用してJWTを生成し、署名します。 package com.zero.trust.common;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import java.security.*;
import java.security.interfaces.*;
import java.util.*;
public class IdentityServiceManager {

    private final String serviceName;
    private final Algorithm algorithm;

    public IdentityServiceManager(String serviceName) {
        this.serviceName = serviceName;
        try {
            KeyPairGenerator gen = KeyPairGenerator.getInstance("RSA");
            gen.initialize(2048);
            KeyPair pair = gen.generateKeyPair();
            this.algorithm = Algorithm.RSA256(
                    (RSAPublicKey) pair.getPublic(),
                    (RSAPrivateKey) pair.getPrivate());
        } catch (Exception e) {
            throw new RuntimeException("KeyPair creation failed", e);
        }
    }

    public String generateTokenData() {
        return JWT.create()
                .withIssuer(serviceName)
                .withClaim("service", serviceName)
                .withExpiresAt(new Date(System.currentTimeMillis() + 3600_000))
                .sign(algorithm);
    }

    public boolean verifyTokenData(String token) {
        try { JWT.require(algorithm).build().verify(token); return true; }
        catch (Exception e) { return false; }
    }
}
 Service Auth using SpringSecuirty Filter (スプリングセキュリティーフィルター) すべての要求は、トークンが有効かどうかを確認するために検証されます。 トークンなし/無効トークン: 401 のみ有効な JWT が進む。 package com.zero.trust.demo.config;
 import org.springframework.web.filter.OncePerRequestFilter;
 import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.*;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
 //few importing missing refer git hub as i am getting error to copy the all imports 
 
@Configuration
public class ZeroTrustSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(req -> req
                        .requestMatchers("/health").permitAll()
                        .anyRequest().authenticated())
                .addFilterBefore((Filter) new TokenFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    static class TokenFilter extends OncePerRequestFilter {
        @Override
        protected void doFilterInternal(HttpServletRequest req,
                                        HttpServletResponse res,
                                        FilterChain chain)
                throws ServletException, IOException {

            String auth = req.getHeader("Authorization");
            if (auth == null || !auth.startsWith("Bearer ")) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Missing token");
                return;
            }
            String jwt = auth.substring(7);
            IdentityServiceManager manager = new IdentityServiceManager("user-service");
            if (!manager.verifyTokenData(jwt)) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token");
                return;
            }
            Authentication a = new UsernamePasswordAuthenticationToken("service", null, List.of());
            SecurityContextHolder.getContext().setAuthentication(a);
            chain.doFilter(req, res);
        }
    }
}
 Vault Simulator を使用するダイナミック シークレット 現実世界では、HashiCorp Vault を使用しますが、ローカルでは、毎分メモリ内で DB 認証情報を回転させます。 package com.zero.trust.valut;

import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;
import java.util.UUID;

@Component
public class VaultServ {
    private String username = "dbuser";
    private String password = UUID.randomUUID().toString();

    @Scheduled(fixedRate = 60000)
    public void rotate() {
        password = UUID.randomUUID().toString();
        System.out.println("[VaultSim] Rotated password -> " + password);
    }

    public String getUsername() { return username; }
    public String getPassword() { return password; }
}
 ゲートウェイコード ゲートウェイは独自のアイデンティティを持つ JWT を生成し、相互の TLS 経由でユーザサービスに接続します. The User Service then authenticates both the token and the certificate - ensuring that only trusted, verified services can communicate. package com.damu;

import com.zero.trust.common.IdentityServiceManager;
import org.springframework.boot.*;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.springframework.web.bind.annotation.*;
import org.springframework.web.client.RestTemplate;
import org.springframework.http.*;

@SpringBootApplication
@RestController
public class Main {

    public static void main(String[] args) {
        SpringApplication.run(Main.class, args);
    }

    @Bean
    public RestTemplate restTemplate() { return new RestTemplate(); }

    private final IdentityServiceManager identity = new IdentityServiceManager("gateway-service");
    private final RestTemplate rest = new RestTemplate();

    @GetMapping("/gatewaytest")
    public String test() {
        String token = identity.generateTokenData();
        HttpHeaders h = new HttpHeaders();
        h.set("Authorization","Bearer "+token);
        HttpEntity<Void> entity = new HttpEntity<>(h);
        ResponseEntity<String> res = rest.exchange(
                "https://localhost:8443/api/users/1",
                HttpMethod.GET, entity, String.class);
        return "Gateway → " + res.getBody();
    }
}
 CHECK OUR もっと細かい流れを GitHub 
 
 ゼロ信頼は現在のトレンドではなく、むしろ態度です このエンド・トゥ・エンド・デモは、純粋なJavaとSpring Bootでこれを実装する方法を示します。 ゼロ信頼は現在のトレンドではなく、むしろ態度です このエンド・トゥ・エンド・デモは、純粋なJavaとSpring Bootでこれを実装する方法を示します。

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

このオーディオは、ストーリーの元の言語で制作されています。

Java Microservices with Zero Trust Architecture (ゼロ・トラスト・アーキテクチャー)

About Author

コメント

ラベル

この記事は

Related Stories

暗号通貨の成長: 効果的なユーザーペルソナの作成

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

Telegram: クリプト島と本土を結ぶ橋

暗号通貨の成長: 効果的なユーザーペルソナの作成

海を航海する: データレイクを使用した本番環境レベルの RAG アプリケーションの開発

Claude Sonnet 3.5 システムプロンプトの漏洩: 法医学的分析

Telegram: クリプト島と本土を結ぶ橋

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps