MSA 환경에서 Spring Security 권한 인증 및 인가를 일반적으로 어떻게 하나요?

Question

MSA 환경에서 A서버 (인증서버)에서 발급한 토큰을 B서버에서 인증 및 인가를 일반적으로 어떻게 하나요?현재 인증서버에서 JWT에 권한정보를 USER 이런식으로 넣어준후 B서버에서 발급된 토큰의 권한정보를 확인하여 인증 및 인가를 해높게 구현하였습니다.다만 이러한 방식으로는 토큰에 담긴 정보를 탈취하여 조작할 경우 보안 이슈가 발생할 수 있기 때문에 고민입니다.또한 추가적으로 이러한 토큰의 관리를 어떻게 하시나요?

star16m · Answer

구성이 사이트마다 프로젝트 상황마다 다를 수 있습니다인증서버는 토큰을 발급한다면게이트웨이에서 토큰을 검증합니다필요하다면 재발급을 위한 refresh 토큰을 유도 할 수도 있습니다인가 처리는 게이트웨이에시 별도의 필터 등에서 처리할 수도 있지만 개별 서비스에서 각자 처리를 하는 부분도 많이 있습니다

olivahn · Answer

토큰을 조작하건 말건 어차피 시그니처 검증을 하면 문제가 없을거라고 생각되는데, 구체적으로 어떤 보안문제가 생길거라고 예상하시는걸까요?

wharup · Answer

JWT 같은 토큰은 변조가 불가능합니다. 토큰 내용으로 시그니처를 생성해서 토근이 변조된 경우 탐지할 수 있고, 암호화한 경우는 내용을 임의로 내용을 열어볼 수 없습니다. 각 서비스가 독자적으로 토큰을 검증할 수 있으므로 대규모 분산 시스템에 잘 어울립니다만, 보통 IDP 서버가 분리된 경우가 많아서 모놀리식과 크게 다를 건 없습니다.대신 전통적인 세션과 비교할 때 자동 타임아웃 기능이 없는데요, 이런 경우 별도로 구현하는 경우가 많습니다. (토큰의 만기 시간과는 조금 다릅니다.)

닉네임없음 · Answer

"토큰에 담긴 정보를 탈취하여 조작할 경우"변조가 안되지 않나요? 안되는걸루 알고 있는데.

MSA 환경에서 Spring Security 권한 인증 및 인가를 일반적으로 어떻게 하나요?

4개의 답변

기술 목록