網(wǎng)關(guān)認(rèn)證鑒權(quán)概述
本文介紹云原生網(wǎng)關(guān)不同認(rèn)證鑒權(quán)機(jī)制的差異。
在微服務(wù)的架構(gòu)中，會(huì)有多個(gè)服務(wù)接收來(lái)自外部用戶(hù)（客戶(hù)端）的請(qǐng)求，通常不會(huì)直接將服務(wù)暴露給外部用戶(hù)，而是在中間加一層網(wǎng)關(guān)作為外部用戶(hù)訪(fǎng)問(wèn)內(nèi)部服務(wù)的控制點(diǎn)。對(duì)于外部用戶(hù)訪(fǎng)問(wèn)的請(qǐng)求，我們通常希望在網(wǎng)關(guān)中進(jìn)行身份驗(yàn)證，知道用戶(hù)是誰(shuí)，并能定義訪(fǎng)問(wèn)控制策略。
網(wǎng)關(guān)認(rèn)證鑒權(quán)類(lèi)型
云原生網(wǎng)關(guān)目前支持JWT、OIDC、IDaaS以及自建認(rèn)證鑒權(quán)等方式：
JWT（JSON Web Tokens）
JWT（JSON Web Tokens）是一套基于用戶(hù)體系對(duì)用戶(hù)的API（服務(wù)）進(jìn)行授權(quán)訪(fǎng)問(wèn)的機(jī)制，滿(mǎn)足用戶(hù)個(gè)性化安全設(shè)置的需求。云原生網(wǎng)關(guān)對(duì)外開(kāi)放的API需要識(shí)別請(qǐng)求者的身份，并據(jù)此判斷所請(qǐng)求的資源是否可以返回給請(qǐng)求者。Token就是一種用于身份驗(yàn)證的機(jī)制，基于這種機(jī)制，應(yīng)用不需要在服務(wù)端保留用戶(hù)的認(rèn)證信息或者會(huì)話(huà)信息，可實(shí)現(xiàn)無(wú)狀態(tài)、分布式的Web應(yīng)用授權(quán)，為應(yīng)用的擴(kuò)展提供了便利。
關(guān)于云原生網(wǎng)關(guān)JWT認(rèn)證鑒權(quán)的具體操作，請(qǐng)參見(jiàn)配置JWT認(rèn)證鑒權(quán)。
OIDC（OpenID Connect）
OIDC（OpenID Connect）是一種安全認(rèn)證機(jī)制，第三方應(yīng)用連接到身份認(rèn)證提供商（Identify Provider）獲取用戶(hù)信息，并把這些信息以安全可靠的方式返回給第三方應(yīng)用。OIDC對(duì)OAuth2.0協(xié)議進(jìn)行了擴(kuò)展，通過(guò)擴(kuò)展的ID Token字段，提供用戶(hù)基礎(chǔ)身份信息，ID Token使用JWT（JSON Web Token）格式進(jìn)行封裝，提供自包含性、防篡改機(jī)制，可以安全地傳遞給第三方應(yīng)用程序并容易被驗(yàn)證。
關(guān)于云原生網(wǎng)關(guān)OIDC認(rèn)證鑒權(quán)的具體操作，請(qǐng)參見(jiàn)配置OIDC認(rèn)證鑒權(quán)。
IDaaS（Alibaba Cloud Identity as a Service）
阿里云應(yīng)用身份服務(wù)IDaaS是阿里云為您提供的一套集中式身份、權(quán)限、應(yīng)用管理服務(wù)。云原生網(wǎng)關(guān)與IDaaS實(shí)現(xiàn)了無(wú)縫對(duì)接，提供了一套完整的身份認(rèn)證解決方案。
關(guān)于云原生網(wǎng)關(guān)IDaaS認(rèn)證鑒權(quán)的具體操作，請(qǐng)參見(jiàn)配置IDaaS認(rèn)證鑒權(quán)。
自建認(rèn)證鑒權(quán)
如果客戶(hù)端請(qǐng)求攜帶的憑證信息（即Token）的形式是業(yè)務(wù)方自定義的格式，則服務(wù)端收到請(qǐng)求后，必須額外訪(fǎng)問(wèn)中心化的鑒權(quán)服務(wù)來(lái)完成鑒權(quán)操作。云原生網(wǎng)關(guān)支持自定義鑒權(quán)，方便在網(wǎng)關(guān)入口處完成鑒權(quán)，避免每個(gè)后端服務(wù)都接入鑒權(quán)服務(wù)。
關(guān)于云原生網(wǎng)關(guān)自建認(rèn)證鑒權(quán)的具體操作，請(qǐng)參見(jiàn)配置自建認(rèn)證鑒權(quán)。