当前位置： 首页 > news >正文

15、架构-可靠通讯之服务安全

news 2025/10/25 16:36:46

概述

        我们已经了解了与具体架构形式无关的业界主流安全概念和技术标准（如TLS、JWT、OAuth 2等概念），在上一章节探讨了与微服务运作特点相适应的零信任安全模型。在本节中，我们将从实践和编码的角度出发，介绍在微服务时代（以Spring Cloud为例）和云原生时代（以Istio over Kubernetes为例）分别如何实现安全传输、认证和授权。通过这两者的对比，我们将探讨在微服务架构下如何将业界的安全技术标准引入并实际落地，实现零信任网络下安全的服务访问。

建立信任

        零信任网络里不存在默认的信任关系。一切服务调用、资源访问成功与否，均需以调用者与提供者间已建立的信任关系为前提。此前我们曾讨论过，真实世界里能够达成信任的基本途径不外乎基于共同私密信息的信任和基于权威公证人的信任两种。在网络世界里，因为客户端和服务端之间一般没有什么共同私密信息，所以真正能采用的就只能是基于权威公证人的信任，这种信任有一个标准的名字：公开密钥基础设施（Public Key Infrastructure, PKI）。

PKI 和 TLS

        PKI是构建传输安全层（Transport Layer Security, TLS）的必要基础。在任何网络设施都不可信任的假设前提下，无论是DNS服务器、代理服务器、负载均衡器还是路由器，传输路径上的每一个节点都有可能监听或者篡改通信双方传输的信息。要保证通信过程不受到中间人攻击的威胁，启用TLS对传输通道本身进行加密，让发送者发出的内容只有接受者可以解密是唯一具备可行性的方案。

TLS的实现

建立TLS传输，看似不复杂，只要在部署服务器时预置好CA根证书，以后用该CA为部署的服务签发TLS证书便可。然而，落到实际操作上，这事情就属于典型的“必须集中在基础设施中自动进行的安全策略实施点”。面对数量庞大且能够自动扩缩的服务节点，依赖运维人员手工去部署和轮换根证书必定是难以为继的。除了随服务节点动态扩缩而来的运维压力外，微服务中TLS认证的频次也显著高于传统应用。比起公众互联网中主流的单向TLS认证，在零信任网络中，往往要启用双向TLS认证，即不仅要确认服务端的身份，还要确认调用者的身份。

单向TLS认证与双向TLS认证

  • 单向TLS认证：只需要服务端提供证书，客户端通过服务端证书验证服务器的身份，但服务器并不验证客户端的身份。单向TLS用于公开服务，即任何客户端都被允许连接到服务进行访问，它保护的重点是客户端免遭冒牌服务器的欺骗。

  • 双向TLS认证：客户端和服务端双方都要提供证书，双方各自通过对方提供的证书来验证对方的身份。双向TLS用于私密服务，即服务只允许特定身份的客户端访问，除了可以保护客户端不连接到冒牌服务器外，也可以保护服务端不遭到非法用户的越权访问。

 认证

根据认证的目标对象，认证可以分为两种类型：一种是以机器作为认证对象，即访问服务的流量来源是另外一个服务，称为服务认证（Peer Authentication，直译为“节点认证”）；另一种是以人为认证对象，即访问服务的流量来自于最终用户，称为请求认证（Request Authentication）。无论哪一种认证，无论是否有基础设施的支持，均需有可行的方案来确定服务调用者的身份，建立信任关系才能调用服务。

服务认证

Istio版本的Fenix’s Bookstore采用了双向TLS认证作为服务调用双方的身份认证手段。得益于Istio提供的基础设施的支持，我们不需要Google Front End、Application Layer Transport Security这些安全组件，也不需要部署PKI和CA，甚至无须改动任何代码就可以启用mTLS认证。

mTLS的配置

如果你的分布式系统还没有达到完全云原生的程度，其中仍存在部分不受Istio管理（即未注入边车）的服务端或者客户端，你也可以将mTLS传输声明为“宽容模式”（Permissive Mode）。宽容模式的含义是受Istio管理的服务会允许同时接收纯文本和mTLS两种流量，纯文本流量仅用于与那些不受Istio管理的节点进行交互，你需要自行解决纯文本流量的认证问题；而对于服务网格内部的流量，则强制要求使用mTLS加密。

例子配置

以下是一个示例配置：

apiVersion: security.istio.io/v1beta1
kind: PeerAuthentication
metadata:name: defaultnamespace: istio-system
spec:mtls:mode: PERMISSIVE

用户认证

对于来自最终用户的请求认证，Istio版本的Fenix’s Bookstore仍然能做到单纯依靠基础设施解决问题，整个认证过程无须应用程序参与。例如，通过配置Istio的RequestAuthentication CRD，可以对外部用户的请求进行JWT验证，从而实现用户认证的自动化和透明化。

RequestAuthentication配置示例

apiVersion: security.istio.io/v1beta1
kind: RequestAuthentication
metadata:name: request-jwtnamespace: bookstore-servicemesh
spec:jwtRules:- issuer: "https://example.com"jwksUri: "https://example.com/.well-known/jwks.json"

授权

在零信任网络中，服务之间没有固有的信任关系。只有已知的、明确授权的调用者才能访问服务，阻止攻击者通过某个服务节点中的代码漏洞来越权调用其他服务。这一原则可阻止攻击者扩大其入侵范围，与微服务设计模式中使用断路器、舱壁隔离实现容错来避免雪崩效应类似，在安全方面也应当采用这种“互不信任”的模式来减小入侵危害的影响范围。

基于角色的访问控制（RBAC）

RBAC是一种常见的授权机制，通过预定义角色和角色与权限的对应关系来控制用户或服务的访问权限。在Istio中，通过配置AuthorizationPolicy CRD，可以实现基于角色的访问控制。

AuthorizationPolicy配置示例

以下配置声明了一个授权策略，允许具有“admin”角色的用户访问“bookstore-servicemesh”命名空间中的所有服务：

apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:name: allow-adminnamespace: bookstore-servicemesh
spec:rules:- from:- source:principals: ["cluster.local/ns/bookstore-servicemesh/sa/admin"]

通过上述配置，我们可以确保只有具有“admin”角色的用户才能访问指定的服务，从而实现细粒度的访问控制，提升系统的安全性。

总结

服务安全是零信任网络的重要组成部分，通过建立信任、认证和授权等机制，可以有效保护微服务系统的安全性。在微服务和云原生环境下，通过使用诸如Istio等服务网格技术，可以简化安全机制的实现，确保系统在任何情况下都能安全运行。尽管实现零信任安全模型需要克服诸多技术和运维挑战，但其在提升系统安全性方面的优势无疑是显著的。

相关文章：

15、架构-可靠通讯之服务安全

概述 我们已经了解了与具体架构形式无关的业界主流安全概念和技术标准（如TLS、JWT、OAuth 2等概念），在上一章节探讨了与微服务运作特点相适应的零信任安全模型。在本节中，我们将从实践和编码的角度出发，介绍在微服务时…...

编程日记 2024/6/12 7:16:30

web刷题记录（5）

[羊城杯 2020]easycon 进来以后就是一个默认测试页面， 在这种默认界面里，我觉得一般不会有什么注入点之类的，所以这里先选择用御剑扫扫目录看看有没有什么存在关键信息的页面 扫了一半发现，很多都是和index.php文件有关&#xff0…...

编程日记 2024/6/12 7:15:29

Redis高并发高可用

1. 复制机制 在分布式系统中，为了解决单点问题，通常会将数据复制多个副本部署到其他机器，以满足故障恢复和负载均衡等需求。Redis提供了复制功能，实现了相同数据的多个Redis副本。复制功能是高可用Redis的基础，后面的…...

编程日记 2024/6/12 7:14:28

【前端取不到cookie的的原因】http-only

某条cookie有http-only属性时，下面两种方法都取不到，还是改需求吧，别取了 1、 npm install js-cookie --save import Cookies from js-cookie let cookieValue Cookies.get(name)2、document.cookie...

编程日记 2024/6/12 7:12:25

推荐 2 个 火火火火 的开源项目

推荐两个开源项目，一个能让你的小爱音响更聪明。另外一个可以让你简单的下载互联网网站上的视频、文件、富文本内容。 01 MiGPT: 让你的小爱音响更聪明 让你的小爱音箱更聪明，提高智能家居的互动性和个性化体验的开源利器！ MiGPT 将 ChatGPT …...

编程日记 2024/6/12 7:10:24

从0到100：找搭子小程序开发笔记(一)

背景调查 “找搭子”小程序：能够解决人们在社交、休闲和约会方面的需求，提供方便快捷的方式来找到合适的伴侣或活动伙伴。许多人在社交场合中感到焦虑或不安，因此他们更倾向于使用在线平台来认识新的朋友或搭子。有些人可能生活在一个较小或…...

编程日记 2024/6/12 7:09:23

迷宫最短路径求解--c++

【代码】 #include<iostream> #include<queue> #include<stack> using namespace std; #define ROW 8 #define COL 8 //测试迷宫数据 int maze[ROW][COL] {{0,0,0,1,0,0,0,0},{0,1,0,1,0,1,0,1},{0,1,0,0,0,1,0,1},{0,1,0,1,1,1,0,1},{0,1,0,1,1,0,0,0},{0…...

编程日记 2024/6/12 7:08:22

SpringFramework总结

一.SpringFramework介绍 (一)Spring 广义上的 Spring 泛指以 Spring Framework 为基础的 Spring 技术栈。 Spring 已经不再是一个单纯的应用框架&#xff0c;而是逐渐发展成为一个由多个不同子项目&#xff08;模块&#xff09;组成的成熟技术&#xff0c;例如 Spring Frame…...

编程日记 2024/6/12 7:07:21

品牌与产品：消费者决策的经济逻辑与品牌宣传的战略意义

在当今日益全球化的经济环境中&#xff0c;品牌与产品之间的关系对于企业的成功与否起着至关重要的作用。然而&#xff0c;在消费者做出购买决策时&#xff0c;他们到底是在选择产品本身&#xff0c;还是在选择附着在产品之上的品牌价值&#xff1f;同样&#xff0c;当客户选择…...

编程日记 2024/6/12 7:06:20

MFC四种方法编写多线程

本文以四个demo为例&#xff0c;对MFC的多线程进行学习。学习的过程中写了四个demo&#xff0c;将其做成笔记&#xff0c;发布在csdn上面。 mfc多线程demo1 volatile BOOL m_bRun; CEdit* edit; void ThreadFunc(){CTime time;CString strTime;m_bRun true;while(m_bRun){ti…...

编程日记 2024/6/12 7:05:19

VPN简介

一、VPN 概念定义 VPN&#xff0c;即虚拟专用网络&#xff08;Virtual Private Network&#xff09;&#xff0c;依靠ISP&#xff08;Internet Service Provider&#xff09;和NSP&#xff08;Network Service Provider&#xff09;在公共网络中建立的虚拟专用通信网络&#x…...

编程日记 2024/6/12 7:03:16

【C/C++】用C语言写一个数据仓库，存储和修改数据

这个代码实现了一个简单的数据仓库&#xff0c;其中数据被存储在一个3x3的二维数组中。用户可以通过控制台界面与这个数据仓库进行交互&#xff0c;可以选择查看数据或者修改数据。 基础版源码&#xff1a; #include <stdio.h>#define HOUSESIZE 3 int arr[HOUSESIZE][…...

编程日记 2024/6/12 7:00:13

YOLO v5与YOLO v8框图比较

1. 介绍 YOLO (You Only Look Once) 是一个用于目标检测的卷积神经网络模型&#xff0c;以其高精度、高速度和易用性著称。YOLO v5 是目前最流行的 YOLO 版本之一&#xff0c;而 YOLO v8 是 YOLO 的最新版本。 2. 原理详解 YOLO 系列模型的基本原理是将目标检测任务转化为图…...

编程日记 2024/6/12 6:59:12

Redis集群（5）

集群原理 节点通信 通信流程 在分布式存储系统中&#xff0c;维护节点元数据&#xff08;如节点负责的数据、节点的故障状态等&#xff09;是关键任务。常见的元数据维护方式分为集中式和P2P方式。Redis集群采用P2P的Gossip协议&#xff0c;这种协议的工作原理是节点之间不断…...

编程日记 2024/6/12 6:58:11

STM32H5 DAC 配置

STM32 H5 DAC的详细初始化过程可以分为以下几个步骤&#xff0c;以下是根据参考文章和相关资料整理的具体步骤和参数设置&#xff1a; 1、使能相关时钟&#xff1a; 使能GPIOA&#xff08;或其他对应DAC输出引脚的GPIO端口&#xff09;的时钟。这通常是通过调用RCC_APB2Perip…...

编程日记 2024/6/12 6:57:10

第十九节：暴力递归到动态规划

一 动画规划的概念 优化出现重复解的递归 一旦写出递归来&#xff0c;改动态规划就很快 尝试策略和状态转移方程是一码事 学会尝试是攻克动态规划最本质的能力 如果你发现你有重复调用的过程&#xff0c;动态规划在算过一次之后把答案记下来&#xff0c;下回在越到重复调用过程…...

编程日记 2024/6/12 6:55:08

服务器部署spring项目jar包使用bat文件，省略每次输入java -jar了

echo off set pathC:\Program Files\Java\jre1.8.0_191\bin START "YiXiangZhengHe-8516" "%path%/java" -Xdebug -jar -Dspring.profiles.activeprod -Dserver.port8516 YiXiangZhengHe-0.0.1-SNAPSHOT.jar 将set path后面改成jre的bin文件夹 START 后…...

编程日记 2024/6/12 6:54:06

2024备忘知识点

1. adb shell dumpsys package f |grep fin 过滤查找指纹服务 &#xff11;&#xff0e;　adsp write /sys/kernel/boot_adsp/boot 1 Please change replace dev_dbg into dev_err in kernel file adsp-loader.c. Then check whether "write /sys/kernel/boot_adsp/…...

编程日记 2024/6/12 6:53:05

JS基础与高级应用: 性能优化

在现代Web开发中&#xff0c;性能优化已成为前端工程师必须掌握的核心技能之一。本文从URL输入到页面加载完成的全过程出发&#xff0c;深入分析了HTTP协议的演进、域名解析、代码层面性能优化以及编译与渲染的最佳实践。通过节流、防抖、重复请求合并等具体技术手段&#xff0…...

编程日记 2024/6/12 6:49:00

Python | Leetcode Python题解之第145题二叉树的后序遍历

题目&#xff1a; 题解&#xff1a; class Solution:def postorderTraversal(self, root: TreeNode) -> List[int]:def addPath(node: TreeNode):count 0while node:count 1res.append(node.val)node node.righti, j len(res) - count, len(res) - 1while i < j:res…...

编程日记 2024/6/12 6:47:58

RestClient

什么是RestClient RestClient 是 Elasticsearch 官方提供的 Java 低级 REST 客户端&#xff0c;它允许HTTP与Elasticsearch 集群通信&#xff0c;而无需处理 JSON 序列化/反序列化等底层细节。它是 Elasticsearch Java API 客户端的基础。 RestClient 主要特点 轻量级&#xff…...

编程新知 2025/9/11 12:55:08

利用最小二乘法找圆心和半径

#include <iostream> #include <vector> #include <cmath> #include <Eigen/Dense> // 需安装Eigen库用于矩阵运算 // 定义点结构 struct Point { double x, y; Point(double x_, double y_) : x(x_), y(y_) {} }; // 最小二乘法求圆心和半径 …...

编程新知 2025/10/24 10:25:34

MPNet：旋转机械轻量化故障诊断模型详解python代码复现

目录 一、问题背景与挑战 二、MPNet核心架构 2.1 多分支特征融合模块（MBFM） 2.2 残差注意力金字塔模块（RAPM） 2.2.1 空间金字塔注意力（SPA） 2.2.2 金字塔残差块（PRBlock） 2.3 分类器设计 三、关键技术突破 3.1 多尺度特征融合 3.2 轻量化设计策略 3.3 抗噪声…...

编程新知 2025/10/24 10:25:43

React 第五十五节 Router 中 useAsyncError的使用详解

前言 useAsyncError 是 React Router v6.4 引入的一个钩子&#xff0c;用于处理异步操作&#xff08;如数据加载&#xff09;中的错误。下面我将详细解释其用途并提供代码示例。 一、useAsyncError 用途 处理异步错误&#xff1a;捕获在 loader 或 action 中发生的异步错误替…...

编程新知 2025/9/29 11:37:47

Java 8 Stream API 入门到实践详解

一、告别 for 循环&#xff01; 传统痛点&#xff1a; Java 8 之前&#xff0c;集合操作离不开冗长的 for 循环和匿名类。例如&#xff0c;过滤列表中的偶数&#xff1a; List<Integer> list Arrays.asList(1, 2, 3, 4, 5); List<Integer> evens new ArrayList…...

编程新知 2025/7/7 9:09:17

基础测试工具使用经验

背景 vtune&#xff0c;perf, nsight system等基础测试工具&#xff0c;都是用过的&#xff0c;但是没有记录&#xff0c;都逐渐忘了。所以写这篇博客总结记录一下&#xff0c;只要以后发现新的用法&#xff0c;就记得来编辑补充一下 perf 比较基础的用法&#xff1a; 先改这…...

编程新知 2025/9/18 15:40:29

【SQL学习笔记1】增删改查+多表连接全解析（内附SQL免费在线练习工具）

可以使用Sqliteviz这个网站免费编写sql语句&#xff0c;它能够让用户直接在浏览器内练习SQL的语法&#xff0c;不需要安装任何软件。 链接如下&#xff1a; sqliteviz 注意&#xff1a; 在转写SQL语法时&#xff0c;关键字之间有一个特定的顺序&#xff0c;这个顺序会影响到…...

编程新知 2025/10/21 23:39:44

Module Federation 和 Native Federation 的比较

前言 Module Federation 是 Webpack 5 引入的微前端架构方案&#xff0c;允许不同独立构建的应用在运行时动态共享模块。 Native Federation 是 Angular 官方基于 Module Federation 理念实现的专为 Angular 优化的微前端方案。 概念解析 Module Federation (模块联邦) Modul…...

编程新知 2025/10/23 12:32:48

PL0语法，分析器实现！

简介 PL/0 是一种简单的编程语言，通常用于教学编译原理。它的语法结构清晰，功能包括常量定义、变量声明、过程（子程序）定义以及基本的控制结构（如条件语句和循环语句）。 PL/0 语法规范 PL/0 是一种教学用的小型编程语言，由 Niklaus Wirth 设计，用于展示编译原理的核…...

编程新知 2025/10/24 9:05:08

如何在最短时间内提升打ctf（web)的水平？

刚刚刷完2遍 bugku 的 web 题&#xff0c;前来答题。 每个人对刷题理解是不同&#xff0c;有的人是看了writeup就等于刷了&#xff0c;有的人是收藏了writeup就等于刷了&#xff0c;有的人是跟着writeup做了一遍就等于刷了&#xff0c;还有的人是独立思考做了一遍就等于刷了。…...

编程新知 2025/10/17 7:32:32