보통 게이트웨이 서버가 있는 스프링부트 msa 환경에서 인증인가 어떻게 구현하시나요?

Question

보통 다른분들은 게이트웨이 서비스, 인증인가 서비스가 있는 spring boot msa 환경에서 인증인가를 어떻게 구현하시나요?저는 현재 webflux 환경의 게이트웨이, 인증인가 서버를 나눴고 로그인 페이지를 게이트웨이 서버에 두고 인증인가의 로그인 검증 api 와 토큰 발급 api 를 호출하고있습니다.그리고 게이트웨이에 AbstractGatewayFilterFactory를 상속한 토큰 검증 필터를 구현해서 인증인가의 검증 / 재발급 api 를 호출하는 형태로 만들었습니다. 그런데 이 방법이 효율적인지에 대한 의문이 생깁니다.일단 동작은 제대로 하긴하는데 인터넷에 찾아보면 security 사용하시는분들도 계시더라구요..그래서 security 를 어떻게 커스텀해서 적용할지.. 로그인 페이지를 게이트웨이서버에 두는게 맞을지.. 로그인 검증에 필요한 사용자 db가 다른서비스에 붙어있으면 어떻게 해야할지..이것저것 고민이 많네요 ㅠㅠ혹시 게이트웨이, 인증인가가 분리된 msa 환경에서 구현하신분 계시다면 어떤구조로 구현하셨는지 궁금합니다!

2948284 · Answer

저도 동일하게 구현시큐리티는 게이트웨이용 관리자기능으로 붙여놓고 땡 어짜피 시큐리티도 결국 필터라서 뭐로하든 정답은 없읍니다^^

하루의_spring · Answer

저는 2가지 방안이 있다고 생각합니다 어차피 클라이언트는 개별모듈에 직접적인 api로의 접근이 불가능하니 gateway 에서 인증이 완료되면 이 사람은 인증된 사람이라고 생각하고 그 후에는 gateway 를 통해서 api 요청시 확인만 하면된다고 생각합니다 단 위와같은 일률적인 인증은 각 모듈별 세부적으로 인증이 나뉠때 문제가 생갑니다 (role) 같은 문제 이때 같은 경우는 중앙에서 계속해서 인증을 확인할 수 있는 통합인증 모듈이 별도로 있어야 합니다 모든 api 요청은 선제적으로 통합인증 모듈로 들어가고 각 모듈이 호출되기 전에 해당 모듈에서 인증의 유효성을 거쳐야 한다고 생각이때 통합인증은 자체적으로 만드는 인증일 수도 있고 시큐리티리릏 활용한 프레임워크 도움도 있을 수 있다고 생각합니다

wharup · Answer

최근엔 K8s를 사용하다 보니 자체 Ingress가 있어서 별도로 API Gateway를 두지 않는 경우가 많습니다.그래서 말씀하시는 경우랑 잘 맞는지 모르겠지만.. 관련해서 정리한 글이 있는데 좀 도움이 되었으면 좋겠네요.클라우드의 세션 - ② 토큰과 세션: https://blog.naver.com/wharup/223329488539

보통 게이트웨이 서버가 있는 스프링부트 msa 환경에서 인증인가 어떻게 구현하시나요?

3개의 답변

#msa 목록