Pieņemsim, ka kāds saņem jūsu API atslēgu. Pēkšņi viņiem ir piekļuve visam jūsu iekšējos mikropakalpojumos – bezmaksas viesabonēšanai, ne uzdotiem jautājumiem.Tomēr, kad jūs pat saprotat, ka kaut kas nav kārtībā, viņi jau ir dzirdējuši datus, izmantojuši visas atļaujas, kuras jūs nekad nevēlējāties piešķirt, un atstājuši jums smagu rēķinu un vēl smagāku uzdevumu: atjaunot klientu uzticēšanos. Tāpēc lielā mērā tas ir tāpēc, ka lielākā daļa mikroservisu pieņem, ka var uzticēties viens otram tikai tāpēc, ka viņi sēž vienā un tajā pašā tīklā. In simple terms: 
 
 Izlādētā uzticamā atslēga kļūst par zagļa pasi. Izlādētā uzticamā atslēga kļūst par zagļa pasi. Agrāk ar vienu lietojumprogrammu un vienu datu krātuvi, kā arī vienu tīkla perimetru, drošība bija daudz vienkāršāka, jo viss darbojās uz vietas ar lokālu datu centru. Tomēr, kad jūs pāriet uz mikroservisiem, tas viss mainījās.Tagad jums ir daudz (desmit) lietojumprogrammu/pakalpojumu, simtiem API un daudzas dažādas komandas katru dienu atbrīvo kodu.Turklāt lielākā daļa pakalpojumu sazināsies ar citiem pakalpojumiem un pieņem, ka, tā kā tie sazinās caur kopīgu tīklu, viņiem vajadzētu būt iespējai uzticēties katram pakalpojumam. Jūsu arhitektūras dizains ir pieaudzis un attīstījies; tomēr jūsu "drošības" domāšana nav. Jūsu māja tagad izskatās, ka tā ir plaši atvērta. ikviens, kurš var iegūt atslēgu no durvīm, var ieiet katrā telpā, atvērt katru atvilktni un atbloķēt katru drošu skapju ēkā. The Philosophy That Changed The Way Of Thinking About Architecture: Zero Trust Filosofija, kas mainīja domāšanas veidu par arhitektūru: nulles uzticēšanās Zero Trust ir izmaiņas veids, kā jūs domājat par uzticību, nevis uzlabojumi drošības tendencēs. Tas agrāk bija, "Uzticieties, bet pārbaudiet." Tas vairs nav. Šis princips var tikt apkopots vienkārši kā "Nekad neuzticieties, vienmēr pārbaudiet." Visiem savienojumiem (lietotājam, pakalpojumam un iekšējam tīklam) ir jāidentificē sevi, jānorāda, ko viņi var darīt, un jāsaka, vai savienojums ir drošs. Būtībā tas izskatījās šādi attiecībā uz mikroservisiem Mutual TLS visu ceļu: visa pakalpojuma savienojuma saziņa tiek apstiprināta, izmantojot savstarpējo TLS (mTLS), pirms jebkura puse var sazināties viena ar otru. API balstītas atļaujas aizstāj ugunsmūra balstītas atļaujas. katrs zvans/transakcija tiek pārbaudīta par pieteikšanos. Mums ir jāpārdomā, kā mēs veidojam un kā mēs uzticamies kaut kam mūsu arhitektūrā, lai izpildītu Zero Trust principus, bet, to darot, mēs esam nonākuši pie daudz drošākas sistēmas. 
 
 Mūsu sistēmas tagad ir daudz drošākas, pateicoties Zero Trust, un tas ir mainījis veidu, kā mēs projektējam, komunicējam un uzticamies citiem pakalpojumiem mūsu arhitektūrā, vai tas ir iekšējs vai ārējs. Mūsu sistēmas tagad ir daudz drošākas, pateicoties Zero Trust, un tas ir mainījis veidu, kā mēs projektējam, komunicējam un uzticamies citiem pakalpojumiem mūsu arhitektūrā, vai tas ir iekšējs vai ārējs. Zero Trust: Not Optional — Not Anymore Zero Trust: Ne opcionāls – ne vairs Vai jūs darbojat ar mikroservisiem bez Zero Trust? Ja jūs gaidāt pārāk ilgi, jūsu bizness ne tikai atpaliks – tas var nonākt pie sienas. Tagad ir pienācis laiks sākt, ilgi pirms jūsu sistēmas apstājās. Mūsu pašu ieviešana nebija bez kļūdām. Mēs risinājām pārtraukumus, pārvarējām izstrādātāja pretestību un uzzinājām dažas grūtas mācības ceļā. Bet pēc sešiem mēnešiem mēs to piegādājām – un pierādījām, ka drošība nav kaut kas, uz ko jūs nokļūstat. Solution/Tools Šeit ir dažas no tehnoloģijām, ko mēs izmantojām, lai pārietu no mūsu uzticības modeļa, kas balstās uz tīkliem, uz uz identitāti balstītu uzticības modeli: 
 
 
 
 
 
 
 Pakalpojuma identitāte: SPIFFE / SPIRE Pakalpojumu tīkla/pakalpojumu-pakalpojumu šifrētas komunikācijas: Istio mTLS Politikas kodekss: Atvērtās politikas aģents (openpolicyagent.org) Aktīva slepenības pārvaldība, Dinamiska slepenības pārvaldība: HashiCorp Vault Dinamiskā draudu analīze: Falco. Rate-Limiting, Revīzijas žurnalizācija, OAuth2: Kong API Gateway Optimization 
 
 
 
 OPA pieņemtie lēmumi tiek saglabāti kešatmiņā (Redis / Kofeīns). Pieslēguma pulēšana mTLS Kafkas revīzijas žurnāli ir asimetriski pārrakstīti. Tālāk es aprakstīšu Zero Trust modeļa ieviešanu manām Java balstītajām mikroservisa lietojumprogrammām, tostarp to, kā tiek pārbaudītas identitātes, tiek izmantots mTLS un aplikācijā tiek rotēti noslēpumi, kā arī tiek sniegti reālie koda un izmantoto konfigurāciju piemēri. JWT, izmantojot identitātes pakalpojumu Katrs pakalpojums iegūst savu identitāti. Mēs ģenerējam un parakstām JWT, izmantojot RSA-256 atslēgas. package com.zero.trust.common;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import java.security.*;
import java.security.interfaces.*;
import java.util.*;
public class IdentityServiceManager {

    private final String serviceName;
    private final Algorithm algorithm;

    public IdentityServiceManager(String serviceName) {
        this.serviceName = serviceName;
        try {
            KeyPairGenerator gen = KeyPairGenerator.getInstance("RSA");
            gen.initialize(2048);
            KeyPair pair = gen.generateKeyPair();
            this.algorithm = Algorithm.RSA256(
                    (RSAPublicKey) pair.getPublic(),
                    (RSAPrivateKey) pair.getPrivate());
        } catch (Exception e) {
            throw new RuntimeException("KeyPair creation failed", e);
        }
    }

    public String generateTokenData() {
        return JWT.create()
                .withIssuer(serviceName)
                .withClaim("service", serviceName)
                .withExpiresAt(new Date(System.currentTimeMillis() + 3600_000))
                .sign(algorithm);
    }

    public boolean verifyTokenData(String token) {
        try { JWT.require(algorithm).build().verify(token); return true; }
        catch (Exception e) { return false; }
    }
}
 Pakalpojums Auth, izmantojot SpringSecuirty Filter Katrs pieprasījums tiek validēts, lai pārbaudītu, vai žetons ir derīgs vai nē. Nav zīmes / nederīgs zīme: tas ir 401. package com.zero.trust.demo.config;
 import org.springframework.web.filter.OncePerRequestFilter;
 import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.*;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
 //few importing missing refer git hub as i am getting error to copy the all imports 
 
@Configuration
public class ZeroTrustSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(req -> req
                        .requestMatchers("/health").permitAll()
                        .anyRequest().authenticated())
                .addFilterBefore((Filter) new TokenFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    static class TokenFilter extends OncePerRequestFilter {
        @Override
        protected void doFilterInternal(HttpServletRequest req,
                                        HttpServletResponse res,
                                        FilterChain chain)
                throws ServletException, IOException {

            String auth = req.getHeader("Authorization");
            if (auth == null || !auth.startsWith("Bearer ")) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Missing token");
                return;
            }
            String jwt = auth.substring(7);
            IdentityServiceManager manager = new IdentityServiceManager("user-service");
            if (!manager.verifyTokenData(jwt)) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token");
                return;
            }
            Authentication a = new UsernamePasswordAuthenticationToken("service", null, List.of());
            SecurityContextHolder.getContext().setAuthentication(a);
            chain.doFilter(req, res);
        }
    }
}
 Dinamiskie noslēpumi, izmantojot Vault Simulator Reālajā pasaulē mēs izmantosim HashiCorp Vault, bet lokāli mēs simulējam ik minūti rotējošos DB sertifikātus atmiņā. package com.zero.trust.valut;

import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;
import java.util.UUID;

@Component
public class VaultServ {
    private String username = "dbuser";
    private String password = UUID.randomUUID().toString();

    @Scheduled(fixedRate = 60000)
    public void rotate() {
        password = UUID.randomUUID().toString();
        System.out.println("[VaultSim] Rotated password -> " + password);
    }

    public String getUsername() { return username; }
    public String getPassword() { return password; }
}
 Gateway kods Portāls ģenerē JWT ar savu identitāti un savieno ar Lietotāja pakalpojumu, izmantojot savstarpēju TLS. Lietotāja pakalpojums pēc tam autentificē gan tokenu, gan sertifikātu, nodrošinot, ka tikai uzticami, pārbaudīti pakalpojumi var sazināties. package com.damu;

import com.zero.trust.common.IdentityServiceManager;
import org.springframework.boot.*;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.springframework.web.bind.annotation.*;
import org.springframework.web.client.RestTemplate;
import org.springframework.http.*;

@SpringBootApplication
@RestController
public class Main {

    public static void main(String[] args) {
        SpringApplication.run(Main.class, args);
    }

    @Bean
    public RestTemplate restTemplate() { return new RestTemplate(); }

    private final IdentityServiceManager identity = new IdentityServiceManager("gateway-service");
    private final RestTemplate rest = new RestTemplate();

    @GetMapping("/gatewaytest")
    public String test() {
        String token = identity.generateTokenData();
        HttpHeaders h = new HttpHeaders();
        h.set("Authorization","Bearer "+token);
        HttpEntity<Void> entity = new HttpEntity<>(h);
        ResponseEntity<String> res = rest.exchange(
                "https://localhost:8443/api/users/1",
                HttpMethod.GET, entity, String.class);
        return "Gateway → " + res.getBody();
    }
}
 Pārbaudiet mūsu Par detalizētāku plūsmu. GitHub 
 
 Zero-Trust nav pašreizējā tendence, bet drīzāk attieksme. Šis end-to-end demo parādīs, kā to īstenot ar tīru Java un Spring Boot. Šis end-to-end demo parādīs, kā to īstenot ar tīru java un pavasara boot. Zero-Trust nav pašreizējā tendence, bet drīzāk attieksme. Šis end-to-end demo parādīs, kā to īstenot ar tīru Java un Spring Boot. Šis end-to-end demo parādīs, kā to īstenot ar tīru java un pavasara boot.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Šis audio ir izveidots stāsta oriģinālvalodā!

Java Microservices ar Zero Trust arhitektūru

About Author

KOMENTĀRI

PAKARINĀT TAGUS

ŠIS RAKSTS TIKS PĀRSTRĀDĀTS

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps