マイクロサービスを使用したユーザー認証

マイクロサービスが独自の承認を処理する必要がありますか、それともマイクロサービスのすべてまたはサブセット（同じビジネスドメイン内）で共有される個別の承認サービスを使用する方が良いと思いますか？

私にとって後者は、変更の適用、ポリシーの実施を容易にするため、より理にかなっています。DRYなどです。ただし、あらゆる種類のサービスがルールを1か所にダンプすることで簡単に手に負えなくなる可能性があり、ネットワークのオーバーヘッドも心配します。

何かご意見は？

私は中央の統一された認証システムを使用し、各マイクロサービスに個別のアクセス許可/統計情報を持っています（このスタック交換サイトでまだ投票できませんが、中央スタック交換認証システムを使用している間はスタックオーバーフローすることができます）。私の現在のプロジェクトの1つは、近い将来このアプローチに関係する予定です。以前の開発作業では、HIPPA準拠のシステムの作成が必要であり、第2レベルの認証/認証が必要でした。また、システムの法的に分離されているが機能的に分離できないコンポーネントからのデイジーチェーン認証には時間がかかります。デバッグプロセスには、単純なoauthログインまたはappidおよびx-authヘッダーを持つapiよりもはるかに少ない喜びが含まれます。

どちらを使用するかは、開発ロードマップの特定の要件に依存しますが、過剰なオーバーヘッドと開発時間/労力を避けるために、可能な限り単純なアプローチを選択します。

各マイクロサービスは独自の認証を行う必要はありませんが、独自の承認を行う必要があります。

ソース

そして、これは完全に理にかなっています。中央認証に疑いの余地はないと思います。しかし、承認はかなり複雑です。

マイクロサービスの数が数百、数千に達する可能性があることを考慮すると、中央認可サービスは権限のリストのみを担当する必要がありますが、それらの権限は検証しません。個々のマイクロサービスは、許可を検証するために異なる方法でアプローチする必要がある場合があります。

この中央認証サービスは、さまざまなサービスからモデルを取得する必要があり、異なるアプローチで意思決定を行う場合がありますが、最初は簡単できれいに見えるかもしれません。しかし、後で混乱する可能性があります。