ការពារ microservices របស់ Java ជាមួយគ្នាសម្រាប់គំនិត Zero Trust

សូមប្រាកដថាអ្នកមានគោលបំណង API របស់អ្នក។ នៅពេលដែលអ្នកទទួលបានគោលបំណង API របស់អ្នក, ពួកគេអាចចូលទៅក្នុងអ្វីគ្រប់យ៉ាងនៅលើ microservices របស់អ្នក។ ការ roaming ដោយឥតគិតថ្លៃមិនមានសំណួរទេ។ នៅពេលដែលអ្នកយល់ដឹងថាអ្វីមួយគត់មិនត្រឹមត្រូវ, ពួកគេបានបាត់បង់ទិន្នន័យរបស់អ្នកហើយពួកគេបានអនុវត្តការអនុញ្ញាតណាមួយដែលអ្នកមិនគួរតែផ្តល់ឱ្យពួកគេហើយពួកគេបានបាត់បង់គោលបំណងដ៏ធ្ងន់ធ្ងរជាងនេះ: ការបង្កើតឥតគិតថ្លៃរបស់អតិថិជន។ ដូច្នេះប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើប្រសិនបើ In simple terms: គោលបំណងសុវត្ថិភាពដែលបានបំពាក់បានក្លាយជាកំណត់ហេតុបណ្ដាញរបស់អ្នក។ គោលបំណងសុវត្ថិភាពដែលបានបំពាក់បានក្លាយជាកំណត់ហេតុបណ្ដាញរបស់អ្នក។ នៅពេលមុន, ជាមួយនឹងកម្មវិធីតែមួយនិងការផ្ទុកទិន្នន័យតែមួយដូចជាទិន្នន័យទិន្នន័យតែមួយនិងទិន្នន័យទិន្នន័យបណ្តាញតែមួយការសុវត្ថិភាពគឺមានភាពងាយស្រួលខ្លាំងណាស់ដោយសារតែអ្វីគ្រប់យ៉ាងត្រូវបានធ្វើឡើងនៅលើកន្លែងជាមួយមជ្ឈមណ្ឌលទិន្នន័យផ្ទាល់។ ឥឡូវនេះអ្នកមានកម្មវិធី / សេវាកម្មជាច្រើន (ប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហែលជាប្រហ ការរចនាសម្ព័ន្ធរបស់អ្នកបានកើនឡើងនិងអភិវឌ្ឍ; ទោះជាយ៉ាងណាក៏ដោយការរចនាសម្ព័ន្ធ "សុវត្ថិភាព" របស់អ្នកមិនមាន។ ទំព័ររបស់អ្នកឥឡូវនេះមើលឃើញថាវាគឺជាការបើកចំហយ៉ាងទូលំទូលំទូលាយ។ មនុស្សដែលអាចទទួលបានគោលបំណងសម្រាប់ទ្វារផ្ទៃខាងក្នុងអាចចូលទៅក្នុងកន្លែងណាមួយបានបើកកញ្ចក់ណាមួយនិងបើកកញ្ចក់ណាមួយនៅក្នុងអគារ។ The Philosophy That Changed The Way Of Thinking About Architecture: Zero Trust គំនិតដែលបានផ្លាស់ប្តូរវិធីសាស្រ្តនៃការគិតអំពីអាកាសធាតុ: Zero Trust Zero Trust គឺជាការផ្លាស់ប្តូរនៅក្នុងរបៀបដែលអ្នកគិតអំពីការជឿទុកចិត្ត, មិនមែនជាការធ្វើឱ្យប្រសើរឡើងនៅក្នុងការផ្លាស់ប្តូរសុវត្ថិភាព។ វាត្រូវបានគេហៅថា "សាកល្បងទេប៉ុន្តែសាកល្បងទេ"។ វាត្រូវបានគេហៅថា "មិនសាកល្បងទេប៉ុន្តែសាកល្បងទេ"។ វាត្រូវបានគេហៅថា "មិនសាកល្បងទេប៉ុន្តែសាកល្បងទេប៉ុណ្ណោះ។ ទាំងអស់នៃការតភ្ជាប់ (អ្នកប្រើប្រាស់, សេវាកម្មនិងបណ្តាញផ្ទាល់ខ្លួន) នឹងត្រូវរកឃើញដោយខ្លួនឯងបានបញ្ជាក់អ្វីដែលពួកគេអាចធ្វើបាននិងបញ្ជាក់ថាតើការតភ្ជាប់នេះមានសុវត្ថិភាព។ មិនមានការប៉ះពាល់ទេ។ ជាទូទៅវាត្រូវបានគេស្គាល់ដូចនេះសម្រាប់ microservices Mutual TLS នៅពេលទាំងអស់: ការទំនាក់ទំនងទាំងអស់នៃការតភ្ជាប់សេវាកម្មត្រូវបានបញ្ជាក់ដោយការប្រើប្រាស់ TLS mutually (mTLS) មុនពេលដែលអ្នកផ្នែកណាមួយអាចផ្លាស់ប្តូរជាមួយគ្នា។ ការអនុញ្ញាតដោយផ្អែកលើ API ត្រូវបានផ្លាស់ប្តូរដោយអនុញ្ញាតដោយផ្អែកលើ firewall ។ ការទូរស័ព្ទ / ការប្រតិបត្តិការទាំងអស់ត្រូវបានត្រួតពិនិត្យឡើងវិញ។ យើងត្រូវគិតបន្ថែមអំពីរបៀបដែលយើងបង្កើតនិងរបៀបដែលយើងផ្គត់ផ្គង់អ្វីគ្រប់យ៉ាងក្នុងរចនាសម្ព័ន្ធរបស់យើងដើម្បីបំពេញគោលដៅ Zero Trust - ប៉ុន្តែដោយធ្វើដូច្នេះយើងបានបញ្ចប់ជាមួយនឹងប្រព័ន្ធដែលមានសុវត្ថិភាពជាងមុន។ ប្រព័ន្ធរបស់យើងឥឡូវនេះមានសុវត្ថិភាពច្រើនជាងមុនដោយសារតែ Zero Trust ហើយវាបានផ្លាស់ប្តូរវិធីដែលយើងរចនានិងផ្លាស់ប្តូរការផ្លាស់ប្តូរសេវាកម្មផ្សេងទៀតនៅក្នុងអេក្រង់អេក្រង់របស់យើង។ ប្រព័ន្ធរបស់យើងឥឡូវនេះមានសុវត្ថិភាពច្រើនជាងមុនដោយសារតែ Zero Trust ហើយវាបានផ្លាស់ប្តូរវិធីដែលយើងរចនានិងផ្លាស់ប្តូរការផ្លាស់ប្តូរសេវាកម្មផ្សេងទៀតនៅក្នុងអេក្រង់អេក្រង់របស់យើង។ Zero Trust: Not Optional — Not Anymore 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 ប្រសិនបើអ្នកកំពុងរក្សាទុកសេវាកម្ម microservices ដោយមិនមាន Zero Trust? ប្រសិនបើអ្នកកំពុងរក្សាទុកពេលវេលាយ៉ាងទូលំទូលាយ, ក្រុមហ៊ុនរបស់អ្នកមិនមែនគ្រាន់តែនឹងកាត់បន្ថយ - វាអាចកាត់បន្ថយរាងកាយ។ ឥឡូវនេះគឺជាពេលដែលអ្នកកំពុងចាប់ផ្តើមមុនពេលដែលប្រព័ន្ធរបស់អ្នកត្រូវបានកាត់បន្ថយ។ ការដំឡើងរបស់យើងមិនមែនជាគោលបំណងទេ។ យើងបានដោះស្រាយជាមួយការបាត់បន្ថយការរក្សាទុក, បានបាត់បន្ថយការរក្សាទុករបស់អ្នកនិងបានរៀនបទពិសោធមួយចំនួននៅលើដំណើរការ។ ប៉ុន្តែបន្ទាប់ពី 6 ខែយើងបានផ្គត់ផ្គង់វា - ហើយបានបង្ហាញថាការសុវត្ថិភាពគឺមិន Solution/Tools នេះគឺជាបច្ចេកវិទ្យាមួយចំនួនដែលយើងបានប្រើដើម្បីផ្លាស់ប្តូរគំរូសុវត្ថិភាពរបស់យើង, ដែលមានមូលដ្ឋានលើបណ្តាញ, ទៅគំរូសុវត្ថិភាពដែលមានមូលដ្ឋានលើអត្ថប្រយោជន៍: ទិន្នន័យសេវា: SPIFFE / SPIRE សេវាកម្ម / សេវាកម្ម-to-សេវាកម្មការផ្សព្វផ្សាយដែលត្រូវបានគ្រីប: Istio mTLS លេខកូដគោលបំណង: អាជីវកម្មគោលបំណងបើក (openpolicyagent.org) ការគ្រប់គ្រងប្រសិទ្ធិភាពប្រសិទ្ធិភាព, ការគ្រប់គ្រងប្រសិទ្ធិភាពប្រសិទ្ធិភាពប្រសិទ្ធិភាព: HashiCorp Vault ការដោះស្រាយអំណាចឌីជីថល: Falco ។ ការត្រួតពិនិត្យការត្រួតពិនិត្យ, OAuth2: Kong API Gateway Optimization ការសម្រេចបានដោយ OPA ត្រូវបានកាត់បន្ថយ (Redis / Coffeine) ។ ប្រព័ន្ធផ្សព្វផ្សាយសម្រាប់ mTLS សៀវភៅសាកល្បងនៃ Kafka ត្រូវបានសរសេរឡើងវិញដោយមិនត្រឹមត្រូវ។ បន្ទាប់មកខ្ញុំនឹងនិយាយអំពីការអនុវត្តគំរូ Zero Trust សម្រាប់កម្មវិធី microservice របស់ខ្ញុំដែលមានមូលដ្ឋាននៅលើ Java, រួមទាំងរបៀបដែលការត្រួតពិនិត្យអាកាសធាតុ, mTLS ដែលត្រូវបានប្រើនិងការប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រែប្រ JWT ការប្រើប្រាស់សេវាកម្ម Identity យើងបានបង្កើតនិងចុះឈ្មោះ JWT ដោយប្រើគោលដៅ RSA-256 ។ package com.zero.trust.common; import com.auth0.jwt.JWT; import com.auth0.jwt.algorithms.Algorithm; import java.security.*; import java.security.interfaces.*; import java.util.*; public class IdentityServiceManager { private final String serviceName; private final Algorithm algorithm; public IdentityServiceManager(String serviceName) { this.serviceName = serviceName; try { KeyPairGenerator gen = KeyPairGenerator.getInstance("RSA"); gen.initialize(2048); KeyPair pair = gen.generateKeyPair(); this.algorithm = Algorithm.RSA256( (RSAPublicKey) pair.getPublic(), (RSAPrivateKey) pair.getPrivate()); } catch (Exception e) { throw new RuntimeException("KeyPair creation failed", e); } } public String generateTokenData() { return JWT.create() .withIssuer(serviceName) .withClaim("service", serviceName) .withExpiresAt(new Date(System.currentTimeMillis() + 3600_000)) .sign(algorithm); } public boolean verifyTokenData(String token) { try { JWT.require(algorithm).build().verify(token); return true; } catch (Exception e) { return false; } } } សេវា Auth ដោយប្រើ SpringSecuirty Filter ការត្រួតពិនិត្យទាំងអស់ត្រូវបានត្រួតពិនិត្យឡើងវិញដើម្បីត្រួតពិនិត្យថាតើ token នេះគឺមានប្រសិទ្ធិភាពឬមិន។ No token / Invalid token: វាគឺជា 401 ។ គ្រាន់តែ JWTs ដែលមានប្រសិទ្ធិភាពដំណើរការ។ package com.zero.trust.demo.config; import org.springframework.web.filter.OncePerRequestFilter; import org.springframework.security.core.context.SecurityContextHolder; import org.springframework.security.web.*; import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter; //few importing missing refer git hub as i am getting error to copy the all imports @Configuration public class ZeroTrustSecurityConfig { @Bean public SecurityFilterChain filterChain(HttpSecurity http) throws Exception { http.csrf(AbstractHttpConfigurer::disable) .authorizeHttpRequests(req -> req .requestMatchers("/health").permitAll() .anyRequest().authenticated()) .addFilterBefore((Filter) new TokenFilter(), UsernamePasswordAuthenticationFilter.class); return http.build(); } static class TokenFilter extends OncePerRequestFilter { @Override protected void doFilterInternal(HttpServletRequest req, HttpServletResponse res, FilterChain chain) throws ServletException, IOException { String auth = req.getHeader("Authorization"); if (auth == null || !auth.startsWith("Bearer ")) { res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Missing token"); return; } String jwt = auth.substring(7); IdentityServiceManager manager = new IdentityServiceManager("user-service"); if (!manager.verifyTokenData(jwt)) { res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token"); return; } Authentication a = new UsernamePasswordAuthenticationToken("service", null, List.of()); SecurityContextHolder.getContext().setAuthentication(a); chain.doFilter(req, res); } } } ប្រព័ន្ធ ប្រតិបត្តិការ Vault Simulator នៅក្នុងពិភពលោកពិតប្រាកដយើងនឹងប្រើ HashiCorp Vault ។ ប៉ុន្តែនៅកន្លែងដែលយើងបានរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការរៀបចំនៃការ package com.zero.trust.valut; import org.springframework.scheduling.annotation.Scheduled; import org.springframework.stereotype.Component; import java.util.UUID; @Component public class VaultServ { private String username = "dbuser"; private String password = UUID.randomUUID().toString(); @Scheduled(fixedRate = 60000) public void rotate() { password = UUID.randomUUID().toString(); System.out.println("[VaultSim] Rotated password -> " + password); } public String getUsername() { return username; } public String getPassword() { return password; } } លេខកូដ Gateway ប្រព័ន្ធ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ ប្រតិបត្តិការ package com.damu; import com.zero.trust.common.IdentityServiceManager; import org.springframework.boot.*; import org.springframework.boot.autoconfigure.SpringBootApplication; import org.springframework.context.annotation.Bean; import org.springframework.web.bind.annotation.*; import org.springframework.web.client.RestTemplate; import org.springframework.http.*; @SpringBootApplication @RestController public class Main { public static void main(String[] args) { SpringApplication.run(Main.class, args); } @Bean public RestTemplate restTemplate() { return new RestTemplate(); } private final IdentityServiceManager identity = new IdentityServiceManager("gateway-service"); private final RestTemplate rest = new RestTemplate(); @GetMapping("/gatewaytest") public String test() { String token = identity.generateTokenData(); HttpHeaders h = new HttpHeaders(); h.set("Authorization","Bearer "+token); HttpEntity entity = new HttpEntity<>(h); ResponseEntity res = rest.exchange( "https://localhost:8443/api/users/1", HttpMethod.GET, entity, String.class); return "Gateway → " + res.getBody(); } } សូមពិនិត្យមើលយើង សម្រាប់ដំណោះស្រាយបន្ថែមទៀត។ ហ្វេសប៊ុក ការបង្ហាញ end-to-end នេះនឹងបង្ហាញអ្នកពីរបៀបធ្វើការនេះជាមួយ Java និង Spring Boot ។ ការបង្ហាញ end-to-end នេះនឹងបង្ហាញអ្នកពីរបៀបធ្វើការនេះជាមួយ Java និង spring boot ។ ការបង្ហាញ end-to-end នេះនឹងបង្ហាញអ្នកពីរបៀបធ្វើការនេះជាមួយ Java និង Spring Boot ។ ការបង្ហាញ end-to-end នេះនឹងបង្ហាញអ្នកពីរបៀបធ្វើការនេះជាមួយ Java និង spring boot ។