माइक्रोसर्विस आर्किटेक्चर पर एसएसओ। हम कीक्लोक का उपयोग करते हैं। भाग ---- पहला

किसी भी बड़ी कंपनी में, और X5 रिटेल ग्रुप कोई अपवाद नहीं है, जैसे-जैसे यह विकसित होता है, उपयोगकर्ता प्राधिकरण की आवश्यकता वाली परियोजनाओं की संख्या बढ़ जाती है। समय के साथ, उपयोगकर्ताओं को एक एप्लिकेशन से दूसरे एप्लिकेशन में निर्बाध संक्रमण की आवश्यकता होती है, और फिर एकल सिंगल-सिंग-ऑन (एसएसओ) सर्वर का उपयोग करने की आवश्यकता होती है। लेकिन तब क्या होगा जब पहचान प्रदाता जैसे AD या अन्य जिनके पास अतिरिक्त विशेषताएँ नहीं हैं, पहले से ही विभिन्न परियोजनाओं में उपयोग किए जाते हैं। "पहचान दलाल" नामक प्रणालियों का एक वर्ग बचाव में आएगा। सबसे कार्यात्मक इसके प्रतिनिधि हैं, जैसे कि कीक्लोक, ग्रेविटी एक्सेस प्रबंधन, आदि। अक्सर, उपयोग के मामले अलग-अलग हो सकते हैं: मशीन इंटरैक्शन, उपयोगकर्ता भागीदारी, आदि। समाधान को लचीली और स्केलेबल कार्यक्षमता का समर्थन करना चाहिए जो सभी आवश्यकताओं को एक में जोड़ सकता है, और ऐसे समाधानों के लिए हमारी कंपनी के पास अब एक इंडिकेशन ब्रोकर है - कीक्लोक।

कीक्लोक रेडहैट द्वारा अनुरक्षित एक खुला स्रोत पहचान और एक्सेस नियंत्रण उत्पाद है। यह एसएसओ - आरएच-एसएसओ का उपयोग करने वाले कंपनी के उत्पादों का आधार है।

बुनियादी अवधारणाओं

इससे पहले कि आप समाधान और दृष्टिकोण से निपटना शुरू करें, आपको प्रक्रियाओं के संदर्भ और अनुक्रम में निर्णय लेना चाहिए:

पहचान किसी विषय को उसके पहचानकर्ता द्वारा पहचानने की एक प्रक्रिया है (दूसरे शब्दों में, यह नाम, लॉगिन या नंबर की परिभाषा है)।

प्रमाणीकरण - यह एक प्रमाणीकरण प्रक्रिया है (उपयोगकर्ता को पासवर्ड से जांचा जाता है, पत्र को इलेक्ट्रॉनिक हस्ताक्षर से जांचा जाता है, आदि)

प्राधिकरण - यह किसी संसाधन तक पहुंच का प्रावधान है (उदाहरण के लिए, ई-मेल तक)।

पहचान ब्रोकर कीक्लोक

चाबी का कपड़ा एक खुला स्रोत पहचान और एक्सेस प्रबंधन समाधान है जिसे आईएस में उपयोग के लिए डिज़ाइन किया गया है जहां माइक्रोसर्विस आर्किटेक्चर पैटर्न का उपयोग किया जा सकता है।

कीक्लोक सिंगल साइन-ऑन (एसएसओ), ब्रोकर्ड आइडेंटिटी और सोशल लॉगिन, यूजर फेडरेशन, क्लाइंट एडेप्टर, एडमिन कंसोल और अकाउंट मैनेजमेंट कंसोल जैसी सुविधाएं प्रदान करता है।

Keycloak द्वारा समर्थित बुनियादी कार्यक्षमता:

• ब्राउज़र अनुप्रयोगों के लिए सिंगल-साइन ऑन और सिंगल-साइन आउट।
• OpenID/OAuth 2.0/SAML के लिए समर्थन।
• पहचान दलाली - बाहरी ओपनआईडी कनेक्ट या एसएएमएल पहचान प्रदाताओं का उपयोग करके प्रमाणीकरण।
• सामाजिक लॉगिन - उपयोगकर्ता पहचान के लिए Google, GitHub, Facebook, Twitter समर्थन।
• उपयोगकर्ता फ़ेडरेशन - एलडीएपी और सक्रिय निर्देशिका सर्वर और अन्य पहचान प्रदाताओं से उपयोगकर्ताओं का सिंक्रनाइज़ेशन।
• केर्बरोस ब्रिज - स्वचालित उपयोगकर्ता प्रमाणीकरण के लिए केर्बरोस सर्वर का उपयोग करना।
• एडमिन कंसोल - वेब के माध्यम से सेटिंग्स और समाधान विकल्पों के एकीकृत प्रबंधन के लिए।
• खाता प्रबंधन कंसोल - उपयोगकर्ता प्रोफ़ाइल के स्व-प्रबंधन के लिए।
• कंपनी की कॉर्पोरेट पहचान के आधार पर समाधान का अनुकूलन।
• 2FA प्रमाणीकरण - Google प्रमाणक या FreeOTP का उपयोग करके TOTP/HOTP समर्थन।
• लॉगिन प्रवाह - उपयोगकर्ता स्व-पंजीकरण, पासवर्ड पुनर्प्राप्ति और रीसेट, और अन्य संभव हैं।
• सत्र प्रबंधन - प्रशासक एक ही बिंदु से उपयोगकर्ता सत्रों का प्रबंधन कर सकते हैं।
• टोकन मैपर्स - उपयोगकर्ता विशेषताओं, भूमिकाओं और अन्य आवश्यक विशेषताओं को टोकन से बांधना।
• दायरे, एप्लिकेशन और उपयोगकर्ताओं के बीच लचीला नीति प्रबंधन।
• CORS समर्थन - क्लाइंट एडेप्टर में अंतर्निहित CORS समर्थन है।
• सेवा प्रदाता इंटरफेस (एसपीआई) - बड़ी संख्या में एसपीआई जो आपको सर्वर के विभिन्न पहलुओं को अनुकूलित करने की अनुमति देते हैं: प्रमाणीकरण प्रवाह, पहचान प्रदाता, प्रोटोकॉल मैपिंग, और बहुत कुछ।
• जावास्क्रिप्ट अनुप्रयोगों के लिए क्लाइंट एडेप्टर, वाइल्डफ्लाई, जेबॉस ईएपी, फ्यूज, टॉमकैट, जेट्टी, स्प्रिंग।
• ओपनआईडी कनेक्ट रिलाइंग पार्टी लाइब्रेरी या एसएएमएल 2.0 सेवा प्रदाता लाइब्रेरी का समर्थन करने वाले विभिन्न अनुप्रयोगों के साथ काम करने के लिए समर्थन।
• प्लगइन्स का उपयोग करके विस्तार योग्य।

CI/CD प्रक्रियाओं के साथ-साथ Keycloak में प्रबंधन प्रक्रियाओं के स्वचालन के लिए, REST API/JAVA API का उपयोग किया जा सकता है। दस्तावेज़ीकरण इलेक्ट्रॉनिक रूप से उपलब्ध है:

बाकी एपीआई https://www.keycloak.org/docs-api/8.0/rest-api/index.html
जावा एपीआई https://www.keycloak.org/docs-api/8.0/javadocs/index.html

एंटरप्राइज़ पहचान प्रदाता (ऑन-प्रिमाइसेस)

उपयोगकर्ता फ़ेडरेशन सेवाओं के माध्यम से उपयोगकर्ताओं को प्रमाणित करने की क्षमता।

पास-थ्रू प्रमाणीकरण का भी उपयोग किया जा सकता है - यदि उपयोगकर्ता कर्बरोस (एलडीएपी या एडी) के साथ वर्कस्टेशन के खिलाफ प्रमाणित करते हैं, तो उन्हें अपने उपयोगकर्ता नाम और पासवर्ड को फिर से दर्ज किए बिना कीक्लोक पर स्वचालित रूप से प्रमाणित किया जा सकता है।

उपयोगकर्ताओं के प्रमाणीकरण और आगे प्राधिकरण के लिए, एक रिलेशनल डीबीएमएस का उपयोग करना संभव है, जो विकास वातावरण के लिए सबसे अधिक लागू है, क्योंकि इसमें परियोजनाओं के शुरुआती चरणों में लंबी सेटिंग्स और एकीकरण शामिल नहीं है। डिफ़ॉल्ट रूप से, Keycloak सेटिंग्स और उपयोगकर्ता डेटा को संग्रहीत करने के लिए एक अंतर्निहित DBMS का उपयोग करता है।

समर्थित DBMS की सूची व्यापक है और इसमें शामिल हैं: MS SQL, Oracle, PostgreSQL, MariaDB, Oracle और अन्य। अब तक सबसे अधिक परीक्षण किए गए Oracle 12C रिलीज़1 RAC और MariaDB 3.12 के लिए गैलेरा 10.1.19 क्लस्टर हैं।

पहचान प्रदाता - सामाजिक लॉगिन

सोशल नेटवर्क से लॉगिन का उपयोग करना संभव है। उपयोगकर्ताओं को प्रमाणित करने की क्षमता सक्रिय करने के लिए, Keycloack एडमिन कंसोल का उपयोग करें। एप्लिकेशन कोड में बदलाव की आवश्यकता नहीं है और यह कार्यक्षमता बॉक्स से बाहर उपलब्ध है और इसे प्रोजेक्ट के किसी भी चरण में सक्रिय किया जा सकता है।

उपयोगकर्ता प्रमाणीकरण के लिए OpenID/SAML पहचान प्रदाताओं का उपयोग करना संभव है।

Keycloak में OAuth2 का उपयोग करते हुए विशिष्ट प्राधिकरण परिदृश्य

प्राधिकरण कोड प्रवाह - सर्वर-साइड अनुप्रयोगों के साथ प्रयोग किया जाता है। प्राधिकरण अनुमति के सबसे सामान्य प्रकारों में से एक क्योंकि यह उन सर्वर अनुप्रयोगों के लिए उपयुक्त है जहां एप्लिकेशन का स्रोत कोड और क्लाइंट डेटा बाहरी लोगों के लिए उपलब्ध नहीं है। इस मामले में प्रक्रिया पुनर्निर्देशन पर आधारित है। उपयोगकर्ता एजेंट के माध्यम से पुनर्निर्देशित एपीआई प्राधिकरण कोड प्राप्त करने के लिए एप्लिकेशन को उपयोगकर्ता एजेंट (उपयोगकर्ता-एजेंट) जैसे वेब ब्राउज़र के साथ बातचीत करने में सक्षम होना चाहिए।

अन्तर्निहित प्रवाह - मोबाइल या वेब एप्लिकेशन (उपयोगकर्ता के डिवाइस पर चलने वाले एप्लिकेशन) द्वारा उपयोग किया जाता है।

अंतर्निहित प्राधिकरण अनुमति प्रकार का उपयोग मोबाइल और वेब अनुप्रयोगों द्वारा किया जाता है जहां ग्राहक गोपनीयता की गारंटी नहीं दी जा सकती है। अंतर्निहित अनुमति प्रकार उपयोगकर्ता एजेंट पुनर्निर्देशन का भी उपयोग करता है, जिससे एप्लिकेशन में आगे उपयोग के लिए एक्सेस टोकन उपयोगकर्ता एजेंट को भेज दिया जाता है। यह उपयोगकर्ता और उपयोगकर्ता के डिवाइस पर अन्य एप्लिकेशन के लिए टोकन उपलब्ध कराता है। इस प्रकार की प्राधिकरण अनुमति एप्लिकेशन की पहचान को प्रमाणित नहीं करती है, और प्रक्रिया स्वयं रीडायरेक्ट यूआरएल (पहले सेवा के साथ पंजीकृत) पर निर्भर करती है।

अंतर्निहित प्रवाह एक्सेस टोकन रीफ्रेश टोकन का समर्थन नहीं करता है।

ग्राहक क्रेडेंशियल्स अनुदान प्रवाह — का उपयोग तब किया जाता है जब एप्लिकेशन एपीआई तक पहुंचता है। इस प्रकार की प्राधिकरण अनुमति का उपयोग आम तौर पर सर्वर-टू-सर्वर इंटरैक्शन के लिए किया जाता है जिसे तत्काल उपयोगकर्ता इंटरैक्शन के बिना पृष्ठभूमि में निष्पादित किया जाना चाहिए। क्लाइंट क्रेडेंशियल्स अनुदान प्रवाह एक वेब सेवा (गोपनीय क्लाइंट) को किसी अन्य वेब सेवा को कॉल करते समय प्रमाणित करने के लिए उपयोगकर्ता का प्रतिरूपण करने के बजाय अपने स्वयं के क्रेडेंशियल्स का उपयोग करने की अनुमति देता है। उच्च स्तर की सुरक्षा के लिए, कॉलिंग सेवा के लिए क्रेडेंशियल के रूप में प्रमाणपत्र (साझा रहस्य के बजाय) का उपयोग करना संभव है।

OAuth2 विनिर्देश में वर्णित है
आरएफसी-6749
आरएफसी-8252
आरएफसी-6819

JWT टोकन और इसके लाभ

JWT (JSON वेब टोकन) एक खुला मानक है (https://tools.ietf.org/html/rfc7519) जो JSON ऑब्जेक्ट के रूप में पार्टियों के बीच जानकारी को सुरक्षित रूप से स्थानांतरित करने के लिए एक कॉम्पैक्ट और आत्मनिर्भर तरीके को परिभाषित करता है।

मानक के अनुसार, टोकन में बेस-64 प्रारूप में तीन भाग होते हैं, जो बिंदुओं द्वारा अलग किए जाते हैं। पहले भाग को हेडर कहा जाता है, जिसमें डिजिटल हस्ताक्षर प्राप्त करने के लिए टोकन का प्रकार और हैश एल्गोरिदम का नाम शामिल होता है। दूसरा भाग बुनियादी जानकारी (उपयोगकर्ता, विशेषताएँ, आदि) संग्रहीत करता है। तीसरा भाग डिजिटल हस्ताक्षर है।

. .
अपने डीबी में कभी भी टोकन स्टोर न करें। क्योंकि एक वैध टोकन एक पासवर्ड के बराबर है, टोकन को संग्रहीत करना पासवर्ड को स्पष्ट पाठ में संग्रहीत करने जैसा है।
एक्सेस टोकन एक टोकन है जो उसके मालिक को सुरक्षित सर्वर संसाधनों तक पहुंच प्रदान करता है। इसका जीवनकाल आमतौर पर छोटा होता है और इसमें टोकन का अनुरोध करने वाली पार्टी का आईपी पता जैसी अतिरिक्त जानकारी हो सकती है।

टोकन ताज़ा करें एक टोकन है जो ग्राहकों को उनके जीवनकाल समाप्त होने के बाद नए एक्सेस टोकन का अनुरोध करने की अनुमति देता है। ये टोकन आमतौर पर लंबी अवधि के लिए जारी किए जाते हैं।

माइक्रोसर्विस आर्किटेक्चर में उपयोग के मुख्य लाभ:

• एक बार के प्रमाणीकरण के माध्यम से विभिन्न अनुप्रयोगों और सेवाओं तक पहुंचने की क्षमता।
• उपयोगकर्ता प्रोफ़ाइल में कई आवश्यक विशेषताओं की अनुपस्थिति में, स्वचालित और ऑन-द-फ़्लाई सहित पेलोड में जोड़े जा सकने वाले डेटा को समृद्ध करना संभव है।
• सक्रिय सत्रों के बारे में जानकारी संग्रहीत करने की कोई आवश्यकता नहीं है, सर्वर एप्लिकेशन को केवल हस्ताक्षर सत्यापित करने की आवश्यकता है।
• पेलोड में अतिरिक्त विशेषताओं के माध्यम से अधिक लचीला अभिगम नियंत्रण।
• हेडर और पेलोड के लिए टोकन हस्ताक्षर का उपयोग समग्र रूप से समाधान की सुरक्षा को बढ़ाता है।

जेडब्ल्यूटी टोकन - रचना

शीर्षक - डिफ़ॉल्ट रूप से, हेडर में केवल टोकन का प्रकार और एन्क्रिप्शन के लिए उपयोग किया जाने वाला एल्गोरिदम शामिल होता है।

टोकन का प्रकार "टाइप" कुंजी में संग्रहीत होता है। JWT में 'प्रकार' कुंजी को नजरअंदाज कर दिया जाता है। यदि "टाइप" कुंजी मौजूद है, तो इसका मान JWT होना चाहिए ताकि यह दर्शाया जा सके कि यह ऑब्जेक्ट एक JSON वेब टोकन है।

दूसरी कुंजी "एलजी" टोकन को एन्क्रिप्ट करने के लिए उपयोग किए जाने वाले एल्गोरिदम को परिभाषित करती है। इसे डिफ़ॉल्ट रूप से HS256 पर सेट किया जाना चाहिए। हेडर बेस64 में एन्कोड किया गया है।

{"alg": "HS256", "प्रकार": "JWT"}
पेलोड (सामग्री) - पेलोड किसी भी जानकारी को संग्रहीत करता है जिसे जांचने की आवश्यकता होती है। पेलोड में प्रत्येक कुंजी को "दावा" के रूप में जाना जाता है। उदाहरण के लिए, आप केवल आमंत्रण (बंद प्रोमो) द्वारा ही आवेदन में प्रवेश कर सकते हैं। जब हम किसी को भाग लेने के लिए आमंत्रित करना चाहते हैं, तो हम उन्हें एक निमंत्रण पत्र भेजते हैं। यह जांचना महत्वपूर्ण है कि ईमेल पता निमंत्रण स्वीकार करने वाले व्यक्ति का है, इसलिए हम इस पते को पेलोड में शामिल करेंगे, इसके लिए हम इसे "ईमेल" कुंजी में संग्रहीत करते हैं।

{ "ईमेल": "[ईमेल संरक्षित]"}

पेलोड में कुंजियाँ मनमानी हो सकती हैं। हालाँकि, कुछ आरक्षित हैं:

• आईएसएस (जारीकर्ता) - उस एप्लिकेशन की पहचान करता है जिससे टोकन भेजा जा रहा है।
• उप (विषय) - टोकन के विषय को परिभाषित करता है।
• aud (ऑडियंस) केस-संवेदी स्ट्रिंग्स या यूआरआई की एक सरणी है जो इस टोकन के प्राप्तकर्ताओं की एक सूची है। जब प्राप्तकर्ता पक्ष को दी गई कुंजी के साथ एक JWT प्राप्त होता है, तो उसे प्राप्तकर्ताओं में स्वयं की उपस्थिति की जांच करनी चाहिए - अन्यथा टोकन को अनदेखा करें।
• exp (समाप्ति समय) - इंगित करता है कि टोकन कब समाप्त होता है। JWT मानक के लिए आवश्यक है कि इसके सभी कार्यान्वयन समाप्त हो चुके टोकन को अस्वीकार कर दें। ऍक्स्प कुंजी यूनिक्स प्रारूप में एक टाइमस्टैम्प होनी चाहिए।
• एनबीएफ (नॉट बिफ़ोर) यूनिक्स प्रारूप में एक समय है जो उस क्षण को निर्धारित करता है जब टोकन वैध हो जाता है।
• iat (जारी किया गया) - यह कुंजी उस समय का प्रतिनिधित्व करती है जब टोकन जारी किया गया था और इसका उपयोग JWT की आयु निर्धारित करने के लिए किया जा सकता है। Iat कुंजी यूनिक्स प्रारूप में टाइमस्टैम्प होनी चाहिए।
• जेटीआई (जेडब्ल्यूटी आईडी) - एक स्ट्रिंग जो इस टोकन के विशिष्ट पहचानकर्ता, केस-संवेदी को परिभाषित करती है।

यह समझना महत्वपूर्ण है कि पेलोड एन्क्रिप्टेड रूप में प्रसारित नहीं होता है (हालांकि टोकन को नेस्ट किया जा सकता है और फिर एन्क्रिप्टेड डेटा संचारित करना संभव है)। इसलिए, यह कोई भी गुप्त जानकारी संग्रहीत नहीं कर सकता है। हेडर की तरह, पेलोड बेस64 एन्कोडेड है।
हस्ताक्षर - जब हमारे पास शीर्षक और पेलोड होता है, तो हम हस्ताक्षर की गणना कर सकते हैं।

बेस64-एन्कोडेड: हेडर और पेलोड लिया जाता है, उन्हें एक बिंदु के माध्यम से एक स्ट्रिंग में जोड़ा जाता है। फिर यह स्ट्रिंग और गुप्त कुंजी हेडर ("एलजी" कुंजी) में निर्दिष्ट एन्क्रिप्शन एल्गोरिदम में इनपुट हैं। कुंजी कोई भी स्ट्रिंग हो सकती है. लंबी डोरियों को सबसे अधिक पसंद किया जाएगा क्योंकि इसे उठाने में अधिक समय लगेगा।

{"alg":"RSA1_5","पेलोड":"A128CBC-HS256"}

कीक्लोक फ़ेलओवर क्लस्टर आर्किटेक्चर का निर्माण

सभी परियोजनाओं के लिए एकल क्लस्टर का उपयोग करते समय, एसएसओ समाधान की आवश्यकताएं बढ़ जाती हैं। जब परियोजनाओं की संख्या छोटी होती है, तो ये आवश्यकताएं सभी परियोजनाओं के लिए इतनी ध्यान देने योग्य नहीं होती हैं, हालांकि, उपयोगकर्ताओं और एकीकरणों की संख्या में वृद्धि के साथ, उपलब्धता और प्रदर्शन की आवश्यकताएं बढ़ जाती हैं।

एकल एसएसओ विफलता का जोखिम बढ़ने से समाधान वास्तुकला और अनावश्यक घटकों के लिए उपयोग की जाने वाली विधियों की आवश्यकताएं बढ़ जाती हैं और बहुत सख्त एसएलए हो जाता है। इस संबंध में, अक्सर विकास के दौरान या समाधानों को लागू करने के शुरुआती चरणों में, परियोजनाओं का अपना गैर-दोष-सहिष्णु बुनियादी ढांचा होता है। जैसे-जैसे विकास आगे बढ़ता है, विकास और स्केलिंग के लिए अवसर निर्धारित करना आवश्यक होता है। कंटेनर वर्चुअलाइजेशन या हाइब्रिड दृष्टिकोण का उपयोग करके फेलओवर क्लस्टर बनाना सबसे लचीला है।

सक्रिय/सक्रिय और सक्रिय/निष्क्रिय क्लस्टर मोड में काम करने के लिए, रिलेशनल डेटाबेस में डेटा स्थिरता सुनिश्चित करना आवश्यक है - दोनों डेटाबेस नोड्स को अलग-अलग भू-वितरित डेटा केंद्रों के बीच समकालिक रूप से दोहराया जाना चाहिए।

दोष-सहिष्णु स्थापना का सबसे सरल उदाहरण.

एकल क्लस्टर का उपयोग करने के क्या लाभ हैं:

• उच्च उपलब्धता और प्रदर्शन.
• ऑपरेटिंग मोड के लिए समर्थन: सक्रिय/सक्रिय, सक्रिय/निष्क्रिय।
• गतिशील रूप से स्केल करने की क्षमता - कंटेनर वर्चुअलाइजेशन का उपयोग करते समय।
• केंद्रीकृत प्रबंधन और निगरानी की संभावना.
• परियोजनाओं में उपयोगकर्ताओं की पहचान/प्रमाणीकरण/प्राधिकरण के लिए एकीकृत दृष्टिकोण।
• उपयोगकर्ता की भागीदारी के बिना विभिन्न परियोजनाओं के बीच अधिक पारदर्शी बातचीत।
• विभिन्न परियोजनाओं में JWT टोकन का पुन: उपयोग करने की क्षमता।
• भरोसे का एकल बिंदु.
• माइक्रोसर्विसेज/कंटेनर वर्चुअलाइजेशन (अतिरिक्त घटकों को उठाने और कॉन्फ़िगर करने की कोई आवश्यकता नहीं) का उपयोग करके परियोजनाओं का तेज़ लॉन्च।
• विक्रेता से व्यावसायिक सहायता खरीदना संभव है।

क्लस्टर की योजना बनाते समय क्या देखना चाहिए?

डीबीएमएस

Keycloak स्टोर करने के लिए एक डेटाबेस प्रबंधन प्रणाली का उपयोग करता है: क्षेत्र, ग्राहक, उपयोगकर्ता, आदि।
DBMS की एक विस्तृत श्रृंखला समर्थित है: MS SQL, Oracle, MySQL, PostgreSQL। कीक्लोक अपने स्वयं के अंतर्निहित रिलेशनल डेटाबेस के साथ आता है। इसे गैर-लोडेड वातावरण जैसे विकास वातावरण के लिए उपयोग करने की अनुशंसा की जाती है।

सक्रिय/सक्रिय और सक्रिय/निष्क्रिय क्लस्टर मोड में काम करने के लिए, रिलेशनल डेटाबेस में डेटा स्थिरता की आवश्यकता होती है, और दोनों डेटाबेस क्लस्टर नोड्स को डेटा केंद्रों के बीच समकालिक रूप से दोहराया जाता है।

वितरित कैश (इन्फिनस्पैन)

क्लस्टर के सही ढंग से काम करने के लिए, जेबॉस डेटा ग्रिड का उपयोग करके निम्नलिखित प्रकार के कैश के अतिरिक्त सिंक्रनाइज़ेशन की आवश्यकता है:

प्रमाणीकरण सत्र - किसी विशिष्ट उपयोगकर्ता को प्रमाणित करते समय डेटा सहेजने के लिए उपयोग किया जाता है। इस कैश से अनुरोधों में आम तौर पर केवल ब्राउज़र और कीक्लोक सर्वर शामिल होते हैं, एप्लिकेशन नहीं।

एक्शन टोकन का उपयोग उन परिदृश्यों के लिए किया जाता है जहां उपयोगकर्ता को एसिंक्रोनस रूप से (ईमेल के माध्यम से) किसी कार्रवाई की पुष्टि करने की आवश्यकता होती है। उदाहरण के लिए, पासवर्ड भूलने के प्रवाह के दौरान, एक्शनटोकेंस इनफिनिस्पैन कैश का उपयोग संबंधित एक्शन टोकन के बारे में मेटाडेटा का ट्रैक रखने के लिए किया जाता है जो पहले ही उपयोग किया जा चुका है, इसलिए इसका पुन: उपयोग नहीं किया जा सकता है।

लगातार डेटा को कैशिंग और अमान्य करना - डेटाबेस में अनावश्यक प्रश्नों से बचने के लिए लगातार डेटा को कैश करने के लिए उपयोग किया जाता है। जब कोई भी Keycloak सर्वर डेटा अपडेट करता है, तो सभी डेटा केंद्रों के अन्य सभी Keycloak सर्वरों को इसके बारे में जानने की आवश्यकता होती है।

कार्य - केवल क्लस्टर नोड्स और डेटा केंद्रों के बीच अमान्य संदेश भेजने के लिए उपयोग किया जाता है।

उपयोगकर्ता सत्र - उपयोगकर्ता सत्रों के बारे में डेटा संग्रहीत करने के लिए उपयोग किया जाता है जो उपयोगकर्ता के ब्राउज़र सत्र की अवधि के लिए मान्य होते हैं। कैश को अंतिम उपयोगकर्ता और एप्लिकेशन से HTTP अनुरोधों को संसाधित करना होगा।

क्रूर बल सुरक्षा - विफल लॉगिन के बारे में डेटा ट्रैक करने के लिए उपयोग किया जाता है।

भार का संतुलन

लोड बैलेंसर कीक्लोक के लिए एकल प्रवेश बिंदु है और इसे स्टिकी सत्रों का समर्थन करना चाहिए।

एप्लिकेशन सर्वर

उनका उपयोग एक दूसरे के साथ घटकों की बातचीत को नियंत्रित करने के लिए किया जाता है और मौजूदा स्वचालन उपकरण और बुनियादी ढांचे स्वचालन उपकरण के गतिशील स्केलिंग का उपयोग करके वर्चुअलाइज्ड या कंटेनरीकृत किया जा सकता है। ओपनशिफ्ट, कुबेरनेट्स, रैंचर में सबसे आम परिनियोजन परिदृश्य।

यह पहला भाग - सैद्धांतिक - समाप्त करता है। लेखों की अगली श्रृंखला में, विभिन्न पहचान प्रदाताओं के साथ एकीकरण के उदाहरण और सेटिंग्स के उदाहरणों का विश्लेषण किया जाएगा।

स्रोत: www.habr.com