Supozoni se dikush merr çelësin tuaj API. Papritmas, ata kanë qasje në gjithçka brenda microservices tuaj të brendshme - roaming falas, nuk ka pyetje të bëra.Në momentin që ju madje e kuptoni se diçka është e gabuar, ata tashmë kanë zhytur të dhënat, ushtruar çdo leje që ju kurrë nuk keni menduar për të dhënë, dhe ju la me një faturë të rëndë dhe një detyrë edhe më të rëndë: rindërtimin e besimit të konsumatorëve. Pra, si ndodh ky lloj thyerje?Në një masë të madhe, kjo është për shkak se shumica e microservices supozojnë se ata mund të besojnë njëri-tjetrin thjesht sepse ata rrinë në të njëjtën rrjet. In simple terms: 
 
 Një çelës i besuar bëhet pasaporta e hajdutit. Një çelës i besuar bëhet pasaporta e hajdutit. Në të kaluarën, me një aplikacion të vetëm dhe një magazin të vetëm të të dhënave, si dhe një perimetër të vetëm të rrjetit, siguria ishte shumë më e thjeshtë, pasi gjithçka funksiononte në vend me një qendër të dhënash lokale. Sidoqoftë, sapo keni kaluar në microservices, të gjitha këto kanë ndryshuar.Tani ju keni shumë (dhjetëra) aplikacione/shërbime, qindra API dhe shumë ekipe të ndryshme po lëshojnë kod çdo ditë.Përveç kësaj, shumica e shërbimeve do të komunikojnë me shërbime të tjera dhe do të supozojnë se pasi ata janë duke komunikuar në një rrjet të përbashkët, ata duhet të jenë në gjendje të besojnë çdo shërbim. Shtëpia juaj tani duket sikur është e hapur gjerësisht.Kushdo që mund të marrë një çelës për derën e përparme mund të hyjë në çdo dhomë, të hapë çdo dollap dhe të zhbllokojë çdo dollap të sigurt në ndërtesë. The Philosophy That Changed The Way Of Thinking About Architecture: Zero Trust Filozofia që ndryshoi mënyrën e të menduarit për arkitekturën: Besimi zero Zero Trust është një ndryshim në mënyrën se si mendoni për besimin, jo një përmirësim në trendet e sigurisë. Ky parim mund të përmblidhet thjesht si, “Kurrë mos u besoni, gjithmonë verifikoni”. Të gjitha lidhjet (përdoruesi, shërbimi dhe rrjeti i brendshëm) duhet të identifikojnë veten, të tregojnë se çfarë mund të bëjnë dhe të thonë nëse lidhja është e sigurt. Në thelb, dukej kështu për microservices Mutual TLS gjithë rrugën: E gjithë komunikimi i një lidhje shërbimi konfirmohet nga përdorimi i reciprok TLS (mTLS) para se ndonjëra nga palët mund të komunikojnë me njëri-tjetrin. Autorizimet e bazuara në API po zëvendësojnë autorizimet e bazuara në firewall. Çdo thirrje/transaksion verifikohet. Ne kemi pasur për të rishikuar se si ne ndërtojmë dhe se si ne besojmë çdo gjë brenda arkitekturës sonë për të përmbushur parimet Zero Trust - por duke bërë këtë, ne kemi përfunduar me një sistem shumë më të sigurt. 
 
 Sistemet tona janë tani shumë më të sigurta për shkak të Zero Trust, dhe kjo ka ndryshuar mënyrën se si ne projektojmë, komunikojmë dhe besojmë në shërbimet e tjera në arkitekturën tonë, qoftë të brendshme ose të jashtme. Sistemet tona janë tani shumë më të sigurta për shkak të Zero Trust, dhe kjo ka ndryshuar mënyrën se si ne projektojmë, komunikojmë dhe besojmë në shërbimet e tjera në arkitekturën tonë, qoftë të brendshme ose të jashtme. Zero Trust: Not Optional — Not Anymore Zero Trust: Jo opsionale – Jo më A jeni duke drejtuar microservices pa Zero Trust? Nëse prisni shumë kohë, biznesi juaj nuk do të bjerë prapa – mund të godasë një mur. Tani është koha për të filluar, shumë kohë para se sistemet tuaja të bllokohen. Vendosja jonë e vetme nuk ishte pa gabime. Ne kemi trajtuar ndërprerjet, kemi shtyrë përmes rezistencës së zhvilluesve, dhe kemi mësuar disa mësime të vështira gjatë rrugës. Por pas gjashtë muajsh, ne e kemi dërguar atë – dhe kemi provuar se siguria nuk është diçka në të cilën keni rënë. Solution/Tools Këtu janë disa nga teknologjitë që kemi përdorur për të kaluar modelin tonë të besimit, i cili bazohet në rrjetet, në një model besimi të bazuar në identitet: 
 
 
 
 
 
 
 Për identitetin e shërbimit: SPIFFE / SPIRE shërbim mesh / shërbim-në-shërbim komunikime të koduara: Istio mTLS Kodi i politikave: Agjenti i Politikave të Hapura (openpolicyagent.org) Menaxhimi aktiv i sekretit, Menaxhimi dinamik i sekretit: HashiCorp Vault Analiza dinamike e kërcënimeve: Falco. Rate-Limiting, Regjistrimi i Auditimit, OAuth2: Kong API Gateway Optimization 
 
 
 
 Vendimet e marra nga OPA janë cache (Redis / Kafeinë). Lidhje për mTLS Regjistrimet e auditimit të Kafkës janë rishkruar në mënyrë asimetrike. Tjetra, unë do të përshkruaj zbatimin e një modeli Zero Trust për aplikacionet e mia të microservices të bazuara në Java, duke përfshirë se si identifikimet verifikohen, mTLS përdoret, dhe sekretet rrotullohen brenda aplikacionit, si dhe ofrojnë shembuj të botës reale të kodit dhe konfigurimeve të përdorura. JWT duke përdorur shërbimin e identitetit Secili shërbim fiton identitetin e vet. Ne gjenerojmë dhe nënshkruajmë një JWT duke përdorur çelësat RSA-256. package com.zero.trust.common;
import com.auth0.jwt.JWT;
import com.auth0.jwt.algorithms.Algorithm;
import java.security.*;
import java.security.interfaces.*;
import java.util.*;
public class IdentityServiceManager {

    private final String serviceName;
    private final Algorithm algorithm;

    public IdentityServiceManager(String serviceName) {
        this.serviceName = serviceName;
        try {
            KeyPairGenerator gen = KeyPairGenerator.getInstance("RSA");
            gen.initialize(2048);
            KeyPair pair = gen.generateKeyPair();
            this.algorithm = Algorithm.RSA256(
                    (RSAPublicKey) pair.getPublic(),
                    (RSAPrivateKey) pair.getPrivate());
        } catch (Exception e) {
            throw new RuntimeException("KeyPair creation failed", e);
        }
    }

    public String generateTokenData() {
        return JWT.create()
                .withIssuer(serviceName)
                .withClaim("service", serviceName)
                .withExpiresAt(new Date(System.currentTimeMillis() + 3600_000))
                .sign(algorithm);
    }

    public boolean verifyTokenData(String token) {
        try { JWT.require(algorithm).build().verify(token); return true; }
        catch (Exception e) { return false; }
    }
}
 Shërbimi Auth duke përdorur SpringSecuirty Filter Çdo kërkesë validohet për të kontrolluar nëse tokeni është i vlefshëm apo jo. Nuk ka token / token i pavlefshëm: është 401. Vetëm JWT-të e vlefshme vazhdojnë. package com.zero.trust.demo.config;
 import org.springframework.web.filter.OncePerRequestFilter;
 import org.springframework.security.core.context.SecurityContextHolder;
import org.springframework.security.web.*;
import org.springframework.security.web.authentication.UsernamePasswordAuthenticationFilter;
 //few importing missing refer git hub as i am getting error to copy the all imports 
 
@Configuration
public class ZeroTrustSecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http.csrf(AbstractHttpConfigurer::disable)
                .authorizeHttpRequests(req -> req
                        .requestMatchers("/health").permitAll()
                        .anyRequest().authenticated())
                .addFilterBefore((Filter) new TokenFilter(), UsernamePasswordAuthenticationFilter.class);
        return http.build();
    }

    static class TokenFilter extends OncePerRequestFilter {
        @Override
        protected void doFilterInternal(HttpServletRequest req,
                                        HttpServletResponse res,
                                        FilterChain chain)
                throws ServletException, IOException {

            String auth = req.getHeader("Authorization");
            if (auth == null || !auth.startsWith("Bearer ")) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Missing token");
                return;
            }
            String jwt = auth.substring(7);
            IdentityServiceManager manager = new IdentityServiceManager("user-service");
            if (!manager.verifyTokenData(jwt)) {
                res.sendError(HttpServletResponse.SC_UNAUTHORIZED, "Invalid token");
                return;
            }
            Authentication a = new UsernamePasswordAuthenticationToken("service", null, List.of());
            SecurityContextHolder.getContext().setAuthentication(a);
            chain.doFilter(req, res);
        }
    }
}
 Fjalë kyçe Vault Simulator Në botën reale, ne do të përdorim HashiCorp Vault. por në nivel lokal, ne simulojmë rrotullimin e certifikatave DB në kujtesë çdo minutë. package com.zero.trust.valut;

import org.springframework.scheduling.annotation.Scheduled;
import org.springframework.stereotype.Component;
import java.util.UUID;

@Component
public class VaultServ {
    private String username = "dbuser";
    private String password = UUID.randomUUID().toString();

    @Scheduled(fixedRate = 60000)
    public void rotate() {
        password = UUID.randomUUID().toString();
        System.out.println("[VaultSim] Rotated password -> " + password);
    }

    public String getUsername() { return username; }
    public String getPassword() { return password; }
}
 Kodi i Gateway Gateway gjeneron një JWT me identitetin e vet dhe lidhet me Shërbimin e Përdoruesit përmes TLS reciprok. Shërbimi i Përdoruesit pastaj autentifikon të dy token dhe certifikatën - duke siguruar që vetëm shërbimet e besuara, të verifikuara mund të komunikojnë. package com.damu;

import com.zero.trust.common.IdentityServiceManager;
import org.springframework.boot.*;
import org.springframework.boot.autoconfigure.SpringBootApplication;
import org.springframework.context.annotation.Bean;
import org.springframework.web.bind.annotation.*;
import org.springframework.web.client.RestTemplate;
import org.springframework.http.*;

@SpringBootApplication
@RestController
public class Main {

    public static void main(String[] args) {
        SpringApplication.run(Main.class, args);
    }

    @Bean
    public RestTemplate restTemplate() { return new RestTemplate(); }

    private final IdentityServiceManager identity = new IdentityServiceManager("gateway-service");
    private final RestTemplate rest = new RestTemplate();

    @GetMapping("/gatewaytest")
    public String test() {
        String token = identity.generateTokenData();
        HttpHeaders h = new HttpHeaders();
        h.set("Authorization","Bearer "+token);
        HttpEntity<Void> entity = new HttpEntity<>(h);
        ResponseEntity<String> res = rest.exchange(
                "https://localhost:8443/api/users/1",
                HttpMethod.GET, entity, String.class);
        return "Gateway → " + res.getBody();
    }
}
 Shikoni në tonë Për një fluks më të detajuar. Github 
 
 Zero-Trust nuk është një tendencë aktuale, por më tepër një qëndrim. Kjo demo fund-në-fund do t'ju tregojë se si ta zbatoni këtë me Java të pastër dhe Spring Boot. Kjo demo fund-në-fund do t'ju tregojë se si ta zbatoni këtë me Java të pastër dhe spring boot. Zero-Trust nuk është një tendencë aktuale, por më tepër një qëndrim. Kjo demo fund-në-fund do t'ju tregojë se si ta zbatoni këtë me Java të pastër dhe Spring Boot. Kjo demo fund-në-fund do t'ju tregojë se si ta zbatoni këtë me Java të pastër dhe spring boot.

Walkthroughs, tutorials, guides, and tips. This story will teach you how to do something new or how to do something better.

Read My Stories

Kjo audio është prodhuar në gjuhën origjinale të tregimit!

Sigurimi i Microservices Java me Arkitekturën e Besimit Zero

About Author

KOMENTE

VARUR TAGS

KY ARTIKU U PARAQIT NË

Related Stories

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps