☕【权限设计系列】「认证授权专题」微服务架构的登陆认证问题

预备知识

本文讨论基于微服务架构下的身份认证和用户授权的技术方案，最好先熟悉并理解以下几个知识点：

• 微服务架构相关概念：服务注册、服务发现、API 网关

• 身份认证和授权技术：SSO、CAS、OAuth2.0、JWT

以下几个基础概念：

• 认证
• 授权
• 鉴权
• 权限控制

前提背景

当企业的应用系统逐渐增多后，每个系统单独管理各自的用户数据容易行成信息孤岛，分散的用户管理模式阻碍了企业应用向平台化演进。当企业的互联网业务发展到一定规模，构建统一的标准化账户管理体系将是必不可少的，因为它是企业互联网云平台的重要基础设施，能够为平台带来统一的帐号管理、身份认证、用户授权等基础能力，为企业带来诸如跨系统单点登录、第三方授权登录等基础能力，为构建开放平台和业务生态提供了必要条件。

模式介绍

在微服务架构下，必须对企业的平台生态进行合理的业务划分，每个业务板块将自成系统，这些系统业务比较独立，应当独立拆分。每个系统又可根据各自的业务模型进行切分，将业务模型和用户需求统筹分析后建立恰当的领域模型，形成独立的服务。

另外，企业平台的客户范围比较复杂，有2B的业务，也有2C的，还有 2G（goverment）的，因此平台级的统一身份管理必须涉及组织实体和个人实体两类，其中组织实体包括机关（G）、企业单位（B）、团体组织（B）等，这类似于多租户架构的概念，但又比传统多租户架构复杂。

微服务架构的登陆认证问题

从过去单体应用架构到分布式应用架构再到现在的微服务架构，应用的安全访问在不断的经受考验。为了适应架构的变化、需求的变化，身份认证与鉴权方案也在不断的更新变革。面对数十个甚至上百个微服务之间的调用，如何保证高效安全的身份认证？面对外部的服务访问，该如何提供细粒度的鉴权方案？本文将会为大家阐述微服务架构下的安全认证与鉴权方案。

统一身份管理（Unified Identity Manager）

统一身份管理（UIM）是整个平台帐号和权限管控的基础，由此构建的系统称为UIMS（Unified Identity Management System），平台下所有系统的账户管理、身份认证、用户授权、权限控制等行为都经由 UIMS 处理，提供帐号密码管理、基本资料管理、角色权限管理等功能。

UIMS 基于『统一身份治理』的概念，可划分为两级账户体系、基础权限模块和基础信息模块三大模块。其中两级账户体系将账户分为组织实体帐号和个人实体账户两大类，个人实体从属于组织实体，也可以不从属任何组织实体，且个人实体可同时从属于多个组织实体；基础权限模块将各业务系统的资源权限进行统一管理和授权；

基础信息模块用于描述组织实体和个人实体的基本信息，如组织实体名称、地址、法人，个人实体姓名、电话号码、性别等基础信息。UIMS 提供统一的 API 与各子系统连接。众多系统和众多服务都将依赖于 UIMS 。

本文仅涉及 UIMS 下的两级账户体系和基础权限模块这两个模块，据此可以独立出账户管理服务和权限管理服务，也可以合并成一个账户权限管理服务。其中账户管理服务包括业务系统实体、组织实体和个人实体管理、权限管理服务包含认证、授权和鉴权三个部分。

单点登录（SSO）

企业平台涉及众多子系统，为简化各子系统的用户管理，提升用户体验，因此实现 SSO 是统一身份认证的重要目标：一次登录，全部访问。

• 对于企业内部应用来说，SSO 是必须的选项，例如企业 OA、HR、CRM 等内部系统；
• 对于外部应用来说，SSO 是可选项，具体哪个应用应当加入 SSO 系统，由该业务系统决定。

例如，外部商城、物业系统等对外服务系统。无论何种应用是否采用 SSO，UIMS 在技术上应当具备 SSO 的能力。

授权登录

随着平台业务的逐渐增长，依托于平台的，和平台依托的厂商和客户等资源将极大的丰富平台，因此必须构筑开放的生态系统，以支撑业务的进一步发展。可以开放平台级的授权登录功能，以允许第三方应用接入。通过三方授权登录，将平台的服务各能力开发给第三方，并将第三方的服务和能力接入平台，繁荣共生，共同发展。

服务间鉴权

业务系统切分出不同的服务，根据粒度粗细和业务需求不同，服务的数量和权限要求都不同。微服务架构下的身份认证和授权，可分为两种：

• 内部服务的认证和授权；

  内部服务处于安全的内网环境之下，例如 BFF 层（Backend For Frontend Layer）的商品服务、订单服务等，在对安全需求不高的情况下，可不执行认证过程，服务与服务之间是相互信任的。