SSO លើស្ថាបត្យកម្មមីក្រូសេវាកម្ម។ យើងប្រើ Keycloak ។ ផ្នែកទី 1

នៅក្នុងក្រុមហ៊ុនធំណាមួយ និង X5 Retail Group គឺមិនមានករណីលើកលែងនោះទេ ដោយសារវាអភិវឌ្ឍ ចំនួនគម្រោងដែលទាមទារការអនុញ្ញាតពីអ្នកប្រើប្រាស់កើនឡើង។ យូរៗទៅ ការផ្លាស់ប្តូរអ្នកប្រើប្រាស់ពីកម្មវិធីមួយទៅកម្មវិធីមួយទៀតគឺត្រូវបានទាមទារ ហើយបន្ទាប់មកត្រូវប្រើម៉ាស៊ីនមេ Single-Sing-On (SSO) តែមួយ។ ប៉ុន្តែចុះយ៉ាងណាចំពោះពេលដែលអ្នកផ្តល់អត្តសញ្ញាណដូចជា AD ឬអ្នកផ្សេងទៀតដែលមិនមានគុណលក្ខណៈបន្ថែមត្រូវបានប្រើប្រាស់រួចហើយនៅក្នុងគម្រោងផ្សេងៗ។ ថ្នាក់នៃប្រព័ន្ធដែលហៅថា "ឈ្មួញកណ្តាលអត្តសញ្ញាណ" នឹងមកជួយសង្គ្រោះ។ មុខងារច្រើនបំផុតគឺតំណាងរបស់វា ដូចជា Keycloak ការគ្រប់គ្រង Gravitee Access ។ ហើយដំណោះស្រាយបែបនេះក្រុមហ៊ុនរបស់យើងឥឡូវនេះមានឈ្មួញកណ្តាលចង្អុលបង្ហាញ - Keycloak ។

Keycloak គឺជាអត្តសញ្ញាណប្រភពបើកចំហ និងផលិតផលត្រួតពិនិត្យការចូលប្រើដែលរក្សាដោយ RedHat ។ វាគឺជាមូលដ្ឋានសម្រាប់ផលិតផលរបស់ក្រុមហ៊ុនដោយប្រើ SSO - RH-SSO ។

គំនិតជាមូលដ្ឋាន

មុនពេលអ្នកចាប់ផ្តើមដោះស្រាយជាមួយដំណោះស្រាយ និងវិធីសាស្រ្ត អ្នកគួរតែសម្រេចចិត្តតាមលក្ខខណ្ឌ និងលំដាប់នៃដំណើរការ៖

ការកំណត់អត្តសញ្ញាណ។ គឺ​ជា​នីតិវិធី​សម្រាប់​ការ​ទទួល​ស្គាល់​មុខ​វិជ្ជា​ដោយ​អ្នក​កំណត់​អត្តសញ្ញាណ​របស់​គាត់ (និយាយ​ម្យ៉ាង​ទៀត​នេះ​គឺ​ជា​និយមន័យ​នៃ​ឈ្មោះ ចូល ឬ​លេខ)។

ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ - នេះគឺជានីតិវិធីនៃការផ្ទៀងផ្ទាត់ (អ្នកប្រើប្រាស់ត្រូវបានពិនិត្យដោយពាក្យសម្ងាត់ លិខិតត្រូវបានពិនិត្យដោយហត្ថលេខាអេឡិចត្រូនិក។ល។)

ការអនុញ្ញាត - នេះគឺជាការផ្តល់សិទ្ធិចូលប្រើធនធាន (ឧទាហរណ៍ អ៊ីមែល)។

ភ្នាក់ងារអត្តសញ្ញាណប័ណ្ណ

សោរ គឺជាដំណោះស្រាយគ្រប់គ្រងការចូលប្រើ និងអត្តសញ្ញាណប្រភពបើកចំហរដែលត្រូវបានរចនាឡើងសម្រាប់ប្រើប្រាស់នៅក្នុង IS ដែលគំរូស្ថាបត្យកម្មខ្នាតតូចអាចប្រើប្រាស់បាន។

Keycloak ផ្តល់នូវលក្ខណៈពិសេសដូចជាការចូលតែមួយ (SSO) អត្តសញ្ញាណឈ្មួញកណ្តាល និងការចូលសង្គម សហព័ន្ធអ្នកប្រើប្រាស់ អាដាប់ទ័រអតិថិជន កុងសូលគ្រប់គ្រង និងកុងសូលគ្រប់គ្រងគណនី។

មុខងារជាមូលដ្ឋានដែលគាំទ្រដោយ Keycloak៖

• Single-Sign On និង Single-Sign Out សម្រាប់កម្មវិធីកម្មវិធីរុករកតាមអ៊ីនធឺណិត។
• ការគាំទ្រសម្រាប់ OpenID/OAuth 2.0/SAML ។
• ឈ្មួញកណ្តាលអត្តសញ្ញាណ - ការផ្ទៀងផ្ទាត់ដោយប្រើ OpenID Connect ខាងក្រៅ ឬអ្នកផ្តល់អត្តសញ្ញាណ SAML ។
• ការចូលសង្គម - Google, GitHub, Facebook, Twitter គាំទ្រសម្រាប់ការកំណត់អត្តសញ្ញាណអ្នកប្រើប្រាស់។
• សហព័ន្ធអ្នកប្រើប្រាស់ – ការធ្វើសមកាលកម្មអ្នកប្រើប្រាស់ពីម៉ាស៊ីនមេ LDAP និង Active Directory និងអ្នកផ្តល់អត្តសញ្ញាណផ្សេងទៀត។
• ស្ពាន Kerberos - ដោយប្រើម៉ាស៊ីនមេ Kerberos សម្រាប់ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ដោយស្វ័យប្រវត្តិ។
• កុងសូលអ្នកគ្រប់គ្រង - សម្រាប់ការគ្រប់គ្រងរួមនៃការកំណត់ និងជម្រើសដំណោះស្រាយតាមរយៈបណ្តាញ។
• កុងសូលគ្រប់គ្រងគណនី - សម្រាប់ការគ្រប់គ្រងដោយខ្លួនឯងនៃទម្រង់អ្នកប្រើប្រាស់។
• ការប្ដូរតាមបំណងនៃដំណោះស្រាយដោយផ្អែកលើអត្តសញ្ញាណសាជីវកម្មរបស់ក្រុមហ៊ុន។
• ការផ្ទៀងផ្ទាត់ 2FA - ការគាំទ្រ TOTP/HOTP ដោយប្រើ Google Authenticator ឬ FreeOTP ។
• លំហូរចូល - ការចុះឈ្មោះអ្នកប្រើប្រាស់ដោយខ្លួនឯង ការសង្គ្រោះ និងកំណត់ពាក្យសម្ងាត់ឡើងវិញ និងអ្នកផ្សេងទៀតអាចធ្វើទៅបាន។
• ការគ្រប់គ្រងសម័យ - អ្នកគ្រប់គ្រងអាចគ្រប់គ្រងវគ្គអ្នកប្រើប្រាស់ពីចំណុចតែមួយ។
• Token Mappers – ការភ្ជាប់គុណលក្ខណៈអ្នកប្រើប្រាស់ តួនាទី និងគុណលក្ខណៈដែលត្រូវការផ្សេងទៀតទៅក្នុងនិមិត្តសញ្ញា។
• ការគ្រប់គ្រងគោលនយោបាយដែលអាចបត់បែនបាននៅទូទាំងអាណាចក្រ កម្មវិធី និងអ្នកប្រើប្រាស់។
• ការគាំទ្រ CORS - អាដាប់ទ័រអតិថិជនមានការគាំទ្រ CORS ដែលភ្ជាប់មកជាមួយ។
• ចំណុចប្រទាក់អ្នកផ្តល់សេវា (SPI) - មួយចំនួនធំនៃ SPIs ដែលអនុញ្ញាតឱ្យអ្នកកំណត់រចនាសម្ព័ន្ធទិដ្ឋភាពផ្សេងៗនៃម៉ាស៊ីនមេ៖ លំហូរការផ្ទៀងផ្ទាត់ អ្នកផ្តល់អត្តសញ្ញាណ ការធ្វើផែនទីពិធីការ និងច្រើនទៀត។
• អាដាប់ទ័រអតិថិជនសម្រាប់កម្មវិធី JavaScript, WildFly, JBoss EAP, Fuse, Tomcat, Jetty, Spring ។
• ការគាំទ្រសម្រាប់ធ្វើការជាមួយកម្មវិធីផ្សេងៗដែលគាំទ្របណ្ណាល័យ OpenID Connect Relying Party ឬបណ្ណាល័យអ្នកផ្តល់សេវា SAML 2.0 ។
• អាចពង្រីកបានដោយប្រើកម្មវិធីជំនួយ។

សម្រាប់ដំណើរការ CI/CD ក៏ដូចជាស្វ័យប្រវត្តិកម្មនៃដំណើរការគ្រប់គ្រងនៅក្នុង Keycloak នោះ REST API/JAVA API អាចត្រូវបានប្រើ។ ឯកសារអាចរកបានតាមអេឡិចត្រូនិក៖

REST API https://www.keycloak.org/docs-api/8.0/rest-api/index.html
Java API https://www.keycloak.org/docs-api/8.0/javadocs/index.html

អ្នកផ្តល់អត្តសញ្ញាណសហគ្រាស (ក្នុងបរិវេណ)

សមត្ថភាពក្នុងការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់តាមរយៈសេវាកម្មសហព័ន្ធអ្នកប្រើប្រាស់។

ការផ្ទៀងផ្ទាត់ឆ្លងកាត់ក៏អាចត្រូវបានប្រើផងដែរ - ប្រសិនបើអ្នកប្រើប្រាស់ផ្ទៀងផ្ទាត់ប្រឆាំងនឹងស្ថានីយការងារជាមួយ Kerberos (LDAP ឬ AD) នោះពួកគេអាចផ្ទៀងផ្ទាត់ដោយស្វ័យប្រវត្តិទៅ Keycloak ដោយមិនចាំបាច់បញ្ចូលឈ្មោះអ្នកប្រើប្រាស់ និងពាក្យសម្ងាត់របស់ពួកគេម្តងទៀត។

សម្រាប់ការផ្ទៀងផ្ទាត់ និងការអនុញ្ញាតបន្ថែមរបស់អ្នកប្រើប្រាស់ វាអាចប្រើ DBMS ដែលទាក់ទងគ្នា ដែលអាចអនុវត្តបានបំផុតសម្រាប់បរិស្ថានអភិវឌ្ឍន៍ ដោយសារវាមិនពាក់ព័ន្ធនឹងការកំណត់យូរ និងការរួមបញ្ចូលនៅដំណាក់កាលដំបូងនៃគម្រោង។ តាមលំនាំដើម Keycloak ប្រើ DBMS ដែលភ្ជាប់មកជាមួយដើម្បីរក្សាទុកការកំណត់ និងទិន្នន័យអ្នកប្រើប្រាស់។

បញ្ជីនៃ DBMS ដែលគាំទ្រគឺទូលំទូលាយ និងរួមបញ្ចូលៈ MS SQL, Oracle, PostgreSQL, MariaDB, Oracle និងផ្សេងទៀត។ ការសាកល្បងបំផុតរហូតមកដល់ពេលនេះគឺ Oracle 12C Release1 RAC និង Galera 3.12 cluster សម្រាប់ MariaDB 10.1.19 ។

អ្នកផ្តល់អត្តសញ្ញាណ - ការចូលសង្គម

វាអាចប្រើការចូលពីបណ្តាញសង្គម។ ដើម្បីធ្វើឱ្យសមត្ថភាពក្នុងការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ សូមប្រើកុងសូលគ្រប់គ្រង Keycloack ។ ការផ្លាស់ប្តូរកូដកម្មវិធីមិនត្រូវបានទាមទារទេ ហើយមុខងារនេះអាចប្រើបានក្រៅប្រអប់ ហើយអាចដំណើរការបាននៅគ្រប់ដំណាក់កាលនៃគម្រោង។

ដើម្បីផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ វាអាចប្រើអ្នកផ្តល់អត្តសញ្ញាណ OpenID/SAML។

សេណារីយ៉ូការអនុញ្ញាតធម្មតាដោយប្រើ OAuth2 នៅក្នុង Keycloak

លំហូរលេខកូដអនុញ្ញាត - ប្រើជាមួយកម្មវិធីចំហៀងម៉ាស៊ីនមេ។ ប្រភេទមួយក្នុងចំណោមប្រភេទទូទៅបំផុតនៃការអនុញ្ញាតការអនុញ្ញាត ព្រោះវាស័ក្តិសមសម្រាប់កម្មវិធីម៉ាស៊ីនមេ ដែលកូដប្រភពកម្មវិធី និងទិន្នន័យអតិថិជនមិនមានសម្រាប់អ្នកខាងក្រៅ។ ដំណើរការក្នុងករណីនេះគឺផ្អែកលើការបញ្ជូនបន្ត។ កម្មវិធីត្រូវតែអាចធ្វើអន្តរកម្មជាមួយភ្នាក់ងារអ្នកប្រើប្រាស់ (user-agent) ដូចជាកម្មវិធីរុករកតាមអ៊ីនធឺណិត ដើម្បីទទួលបានលេខកូដអនុញ្ញាត API ដែលបញ្ជូនបន្តតាមរយៈភ្នាក់ងារអ្នកប្រើប្រាស់។

លំហូរដោយប្រយោល។ - ប្រើដោយកម្មវិធីទូរស័ព្ទ ឬគេហទំព័រ (កម្មវិធីដំណើរការលើឧបករណ៍របស់អ្នកប្រើ)។

ប្រភេទការអនុញ្ញាតការអនុញ្ញាតដោយប្រយោលត្រូវបានប្រើដោយកម្មវិធីទូរស័ព្ទ និងគេហទំព័រ ដែលការរក្សាការសម្ងាត់របស់អតិថិជនមិនអាចធានាបាន។ ប្រភេទការអនុញ្ញាតដោយប្រយោលក៏ប្រើការបញ្ជូនបន្តភ្នាក់ងារអ្នកប្រើប្រាស់ផងដែរ ដែលសញ្ញាសម្ងាត់ចូលប្រើត្រូវបានបញ្ជូនទៅភ្នាក់ងារអ្នកប្រើប្រាស់សម្រាប់ប្រើប្រាស់បន្ថែមទៀតនៅក្នុងកម្មវិធី។ វាធ្វើឱ្យសញ្ញាសម្ងាត់មានសម្រាប់អ្នកប្រើប្រាស់ និងកម្មវិធីផ្សេងទៀតនៅលើឧបករណ៍របស់អ្នកប្រើប្រាស់។ ប្រភេទនៃការអនុញ្ញាតការអនុញ្ញាតនេះមិនផ្ទៀងផ្ទាត់អត្តសញ្ញាណនៃកម្មវិធីនោះទេ ហើយដំណើរការខ្លួនវាពឹងផ្អែកលើ URL ប្តូរទិស (ដែលបានចុះឈ្មោះពីមុនជាមួយសេវាកម្ម)។

Implicit Flow មិនគាំទ្រការចូលប្រើ token refresh tokens ទេ។

លំហូរផ្តល់ព័ត៌មានបញ្ជាក់អត្តសញ្ញាណអតិថិជន — ត្រូវបានប្រើនៅពេលដែលកម្មវិធីចូលប្រើ API ។ ប្រភេទនៃការអនុញ្ញាតការអនុញ្ញាតនេះត្រូវបានប្រើជាធម្មតាសម្រាប់អន្តរកម្មរវាងម៉ាស៊ីនមេទៅម៉ាស៊ីនមេ ដែលត្រូវតែអនុវត្តនៅក្នុងផ្ទៃខាងក្រោយដោយមិនមានអន្តរកម្មអ្នកប្រើប្រាស់ភ្លាមៗ។ លំហូរ​នៃ​ការ​ផ្តល់​ព័ត៌មាន​សម្ងាត់​អតិថិជន​អនុញ្ញាត​ឱ្យ​សេវា​បណ្ដាញ (ម៉ាស៊ីន​ភ្ញៀវ​សម្ងាត់) ប្រើ​ព័ត៌មាន​សម្ងាត់​ផ្ទាល់​ខ្លួន​ជា​ជាង​ការ​ក្លែង​ខ្លួន​ជា​អ្នក​ប្រើ​ដើម្បី​ផ្ទៀងផ្ទាត់​ភាព​ត្រឹមត្រូវ​ពេល​ហៅ​សេវា​បណ្ដាញ​ផ្សេង។ សម្រាប់កម្រិតសុវត្ថិភាពខ្ពស់ជាងនេះ វាអាចទៅរួចសម្រាប់សេវាហៅទូរសព្ទដើម្បីប្រើវិញ្ញាបនបត្រ (ជំនួសឱ្យការសម្ងាត់ដែលបានចែករំលែក) ជាព័ត៌មានបញ្ជាក់អត្តសញ្ញាណ។

ការបញ្ជាក់ OAuth2 ត្រូវបានពិពណ៌នានៅក្នុង
RFC-១៩១៨
RFC-១៩១៨
RFC-១៩១៨

និមិត្តសញ្ញា JWT និងអត្ថប្រយោជន៍របស់វា។

JWT (JSON Web Token) គឺជាស្តង់ដារបើកចំហ (https://tools.ietf.org/html/rfc7519) ដែលកំណត់វិធីបង្រួម និងផ្ទុកដោយខ្លួនឯង ដើម្បីផ្ទេរព័ត៌មានដោយសុវត្ថិភាពរវាងភាគីជាវត្ថុ JSON ។

យោងតាមស្ដង់ដារ សញ្ញាសម្ងាត់មានបីផ្នែកក្នុងទម្រង់ base-64 ដែលបំបែកដោយចំនុច។ ផ្នែកទីមួយត្រូវបានគេហៅថាបឋមកថាដែលមានប្រភេទនៃសញ្ញាសម្ងាត់និងឈ្មោះនៃក្បួនដោះស្រាយសញ្ញាសម្រាប់ការទទួលបានហត្ថលេខាឌីជីថល។ ផ្នែកទីពីររក្សាទុកព័ត៌មានមូលដ្ឋាន (អ្នកប្រើប្រាស់ គុណលក្ខណៈ។ល។)។ ផ្នែកទីបីគឺហត្ថលេខាឌីជីថល។

. .
កុំរក្សាទុកសញ្ញាសម្ងាត់នៅក្នុង DB របស់អ្នក។ ដោយសារតែសញ្ញាសម្ងាត់ត្រឹមត្រូវគឺស្មើនឹងពាក្យសម្ងាត់ ការរក្សាទុកនិមិត្តសញ្ញាគឺដូចជាការរក្សាទុកពាក្យសម្ងាត់នៅក្នុងអត្ថបទច្បាស់លាស់។
សញ្ញាសម្ងាត់ចូលប្រើ គឺជាសញ្ញាសម្ងាត់ដែលផ្តល់សិទ្ធិឱ្យម្ចាស់របស់វាចូលប្រើធនធានម៉ាស៊ីនមេ។ ជាធម្មតាវាមានអាយុកាលខ្លី ហើយអាចផ្ទុកព័ត៌មានបន្ថែមដូចជាអាសយដ្ឋាន IP របស់ភាគីដែលស្នើសុំសញ្ញាសម្ងាត់។

ផ្ទុកសញ្ញាសម្ងាត់ឡើងវិញ គឺជាសញ្ញាសម្ងាត់ដែលអនុញ្ញាតឱ្យអតិថិជនស្នើសុំនិមិត្តសញ្ញាចូលប្រើថ្មី បន្ទាប់ពីអាយុកាលរបស់ពួកគេផុតកំណត់ ថូខឹនទាំងនេះជាធម្មតាត្រូវបានចេញក្នុងរយៈពេលយូរ។

គុណសម្បត្តិចម្បងនៃការប្រើប្រាស់នៅក្នុងស្ថាបត្យកម្មមីក្រូសេវាកម្ម៖

• សមត្ថភាពក្នុងការចូលប្រើកម្មវិធី និងសេវាកម្មផ្សេងៗតាមរយៈការផ្ទៀងផ្ទាត់តែម្តង។
• ក្នុងករណីដែលគ្មានគុណលក្ខណៈដែលត្រូវការមួយចំនួននៅក្នុងកម្រងព័ត៌មានអ្នកប្រើប្រាស់ វាអាចធ្វើឲ្យពួកវាសំបូរទៅដោយទិន្នន័យដែលអាចបញ្ចូលទៅក្នុងបន្ទុក រួមទាំងដោយស្វ័យប្រវត្តិ និងភ្លាមៗផងដែរ។
• មិនចាំបាច់រក្សាទុកព័ត៌មានអំពីវគ្គសកម្មទេ កម្មវិធីម៉ាស៊ីនមេគ្រាន់តែត្រូវការផ្ទៀងផ្ទាត់ហត្ថលេខាប៉ុណ្ណោះ។
• ការគ្រប់គ្រងការចូលប្រើដែលអាចបត់បែនបានតាមរយៈលក្ខណៈបន្ថែមនៅក្នុងបន្ទុក។
• ការប្រើប្រាស់ហត្ថលេខាសញ្ញាសម្ងាត់សម្រាប់បឋមកថា និងបន្ទុកបង្កើនសុវត្ថិភាពនៃដំណោះស្រាយទាំងមូល។

និមិត្តសញ្ញា JWT - សមាសភាព

បឋមកថា — តាមលំនាំដើម បឋមកថាមានតែប្រភេទសញ្ញាសម្ងាត់ និងក្បួនដោះស្រាយដែលប្រើសម្រាប់ការអ៊ិនគ្រីប។

ប្រភេទនៃសញ្ញាសម្ងាត់ត្រូវបានរក្សាទុកក្នុងគ្រាប់ចុច "វាយ" ។ គ្រាប់ចុច 'ប្រភេទ' មិនត្រូវបានអើពើនៅក្នុង JWT ។ ប្រសិនបើគ្រាប់ចុច "វាយ" មានវត្តមាន តម្លៃរបស់វាត្រូវតែជា JWT ដើម្បីបង្ហាញថាវត្ថុនេះគឺជានិមិត្តសញ្ញាគេហទំព័រ JSON ។

គ្រាប់ចុចទីពីរ "alg" កំណត់ក្បួនដោះស្រាយដែលប្រើដើម្បីអ៊ិនគ្រីបសញ្ញាសម្ងាត់។ វាគួរតែត្រូវបានកំណត់ទៅ HS256 តាមលំនាំដើម។ បឋមកថាត្រូវបានអ៊ិនកូដក្នុង base64 ។

{ "alg": "HS256", "type": "JWT"}
បន្ទុក (មាតិកា) - payload រក្សាទុកព័ត៌មានណាមួយដែលត្រូវការត្រួតពិនិត្យ។ គន្លឹះនីមួយៗនៅក្នុង payload ត្រូវបានគេស្គាល់ថាជា "ការទាមទារ"។ ឧទាហរណ៍ អ្នក​អាច​បញ្ចូល​កម្មវិធី​បាន​តែ​តាម​ការ​អញ្ជើញ​ប៉ុណ្ណោះ (បិទ​ការ​ផ្សព្វផ្សាយ)។ នៅពេលដែលយើងចង់អញ្ជើញនរណាម្នាក់ឱ្យចូលរួម យើងផ្ញើលិខិតអញ្ជើញឱ្យពួកគេ។ វាមានសារៈសំខាន់ណាស់ក្នុងការត្រួតពិនិត្យមើលថាអាសយដ្ឋានអ៊ីមែលជារបស់អ្នកដែលទទួលយកការអញ្ជើញ ដូច្នេះយើងនឹងបញ្ចូលអាសយដ្ឋាននេះទៅក្នុងបន្ទុក សម្រាប់ការនេះ យើងរក្សាទុកវានៅក្នុងសោ "អ៊ីមែល"

{ "អ៊ីមែល": "[អ៊ីមែលការពារ]"}

គ្រាប់ចុចនៅក្នុងបន្ទុកអាចបំពាន។ ទោះយ៉ាងណាក៏ដោយ មានការកក់ទុកមួយចំនួន៖

• iss (អ្នកចេញ) - កំណត់កម្មវិធីដែលសញ្ញាសម្ងាត់ត្រូវបានផ្ញើ។
• អនុ (ប្រធានបទ) - កំណត់ប្រធានបទនៃសញ្ញាសម្ងាត់។
• aud (ទស្សនិកជន) គឺជាអារេនៃខ្សែអក្សរដែលប្រកាន់អក្សរតូចធំ ឬ URIs ដែលជាបញ្ជីនៃអ្នកទទួលសញ្ញាសម្ងាត់នេះ។ នៅពេលដែលភាគីទទួលបានទទួល JWT ជាមួយនឹងសោដែលបានផ្តល់ឱ្យ វាត្រូវតែពិនិត្យមើលវត្តមានរបស់ខ្លួនឯងនៅក្នុងអ្នកទទួល បើមិនដូច្នេះទេមិនអើពើនឹងសញ្ញាសម្ងាត់នោះទេ។
• exp (Expiration Time) - បង្ហាញពីពេលដែលសញ្ញាសម្ងាត់ផុតកំណត់។ ស្តង់ដារ JWT តម្រូវឱ្យអនុវត្តទាំងអស់ដើម្បីបដិសេធនិមិត្តសញ្ញាដែលផុតកំណត់។ គ្រាប់ចុច exp ត្រូវតែជាត្រាពេលវេលាជាទម្រង់យូនីក។
• nbf (Not Before) គឺជាពេលវេលានៅក្នុងទម្រង់ unix ដែលកំណត់ពេលដែលសញ្ញាសម្ងាត់ក្លាយជាត្រឹមត្រូវ។
• iat (ចេញនៅ) - គន្លឹះនេះតំណាងឱ្យពេលវេលាដែលសញ្ញាសម្ងាត់ត្រូវបានចេញ ហើយអាចត្រូវបានប្រើដើម្បីកំណត់អាយុរបស់ JWT ។ គ្រាប់ចុច iat ត្រូវតែជាត្រាពេលវេលាក្នុងទម្រង់យូនីក។
• Jti (JWT ID) — ខ្សែអក្សរដែលកំណត់អត្តសញ្ញាណតែមួយគត់នៃសញ្ញាសម្ងាត់នេះ ប្រកាន់អក្សរតូចធំ។

វាជាការសំខាន់ណាស់ដែលត្រូវយល់ថា payload មិនត្រូវបានបញ្ជូនដោយ encrypted (ទោះបីជា tokens អាចត្រូវបានដាក់បញ្ចូលហើយបន្ទាប់មកវាអាចធ្វើទៅបានដើម្បីបញ្ជូនទិន្នន័យដែលបានអ៊ិនគ្រីប) ។ ដូច្នេះហើយ វាមិនអាចរក្សាទុកព័ត៌មានសម្ងាត់ណាមួយឡើយ។ ដូចបឋមកថា បន្ទុកត្រូវបានអ៊ិនកូដ base64 ។
ហត្ថលេខា - នៅពេលដែលយើងមានចំណងជើង និងបន្ទុក យើងអាចគណនាហត្ថលេខាបាន។

Base64-encoded៖ បឋមកថា និង payload ត្រូវបានគេយក ពួកវាត្រូវបានដាក់បញ្ចូលគ្នាទៅក្នុងខ្សែអក្សរតាមរយៈចំនុចមួយ។ បន្ទាប់មក ខ្សែអក្សរនេះ និងសោសម្ងាត់ត្រូវបានបញ្ចូលទៅក្នុងក្បួនដោះស្រាយការអ៊ិនគ្រីបដែលបានបញ្ជាក់នៅក្នុងបឋមកថា (កូនសោ "alg") ។ គន្លឹះអាចជាខ្សែណាមួយ។ ខ្សែវែងជាងនឹងត្រូវបានគេពេញចិត្តបំផុតព្រោះវានឹងចំណាយពេលយូរជាងនេះដើម្បីយក។

{"alg":"RSA1_5","payload":"A128CBC-HS256"}

ការកសាងស្ថាបត្យកម្ម Keycloak Failover Cluster

នៅពេលប្រើចង្កោមតែមួយសម្រាប់គម្រោងទាំងអស់ មានតម្រូវការកើនឡើងសម្រាប់ដំណោះស្រាយ SSO ។ នៅពេលដែលចំនួនគម្រោងមានតិចតួច តម្រូវការទាំងនេះមិនគួរឱ្យកត់សម្គាល់សម្រាប់គម្រោងទាំងអស់នោះទេ ទោះជាយ៉ាងណាក៏ដោយ ជាមួយនឹងការកើនឡើងនៃចំនួនអ្នកប្រើប្រាស់ និងការរួមបញ្ចូល តម្រូវការសម្រាប់ភាពអាចរកបាន និងដំណើរការកើនឡើង។

ការបង្កើនហានិភ័យនៃការបរាជ័យ SSO តែមួយបង្កើនតម្រូវការសម្រាប់ស្ថាបត្យកម្មដំណោះស្រាយ និងវិធីសាស្រ្តដែលប្រើសម្រាប់សមាសធាតុដែលលែងត្រូវការ ហើយនាំទៅដល់ SLA ដ៏តឹងរ៉ឹង។ ក្នុងន័យនេះ ជាញឹកញាប់ក្នុងអំឡុងពេលនៃការអភិវឌ្ឍន៍ ឬដំណាក់កាលដំបូងនៃការអនុវត្តដំណោះស្រាយ គម្រោងនានាមានហេដ្ឋារចនាសម្ព័ន្ធដែលមិនមានកំហុសផ្ទាល់ខ្លួន។ នៅពេលដែលការអភិវឌ្ឍន៍រីកចម្រើន វាត្រូវបានទាមទារឱ្យដាក់ឱកាសសម្រាប់ការអភិវឌ្ឍន៍ និងការធ្វើមាត្រដ្ឋាន។ វាមានភាពបត់បែនបំផុតក្នុងការសាងសង់ចង្កោមបរាជ័យដោយប្រើនិម្មិតកុងតឺន័រ ឬវិធីសាស្រ្តកូនកាត់។

ដើម្បីធ្វើការនៅក្នុងរបៀបក្រុមសកម្ម/សកម្ម និងសកម្ម/អកម្ម វាត្រូវបានទាមទារដើម្បីធានានូវភាពស៊ីសង្វាក់គ្នានៃទិន្នន័យនៅក្នុងមូលដ្ឋានទិន្នន័យទំនាក់ទំនង - ថ្នាំងមូលដ្ឋានទិន្នន័យទាំងពីរត្រូវតែចម្លងឡើងវិញដោយសមកាលកម្មរវាងមជ្ឈមណ្ឌលទិន្នន័យដែលចែកចាយតាមភូមិសាស្ត្រផ្សេងៗគ្នា។

ឧទាហរណ៍សាមញ្ញបំផុតនៃការដំឡើងដែលអត់ឱនចំពោះកំហុស។

អត្ថប្រយោជន៍នៃការប្រើចង្កោមតែមួយ៖

• ភាពអាចរកបាន និងដំណើរការខ្ពស់។
• ការគាំទ្រសម្រាប់របៀបប្រតិបត្តិការ៖ សកម្ម / សកម្ម, សកម្ម / អកម្ម។
• សមត្ថភាពក្នុងការធ្វើមាត្រដ្ឋានថាមវន្ត - នៅពេលប្រើនិម្មិតកុងតឺន័រ។
• លទ្ធភាពនៃការគ្រប់គ្រង និងការត្រួតពិនិត្យមជ្ឈិម។
• វិធីសាស្រ្តបង្រួបបង្រួមសម្រាប់ការកំណត់អត្តសញ្ញាណ/ការផ្ទៀងផ្ទាត់/ការអនុញ្ញាតរបស់អ្នកប្រើប្រាស់នៅក្នុងគម្រោង។
• អន្តរកម្មកាន់តែមានតម្លាភាពរវាងគម្រោងផ្សេងៗគ្នាដោយមិនមានការចូលរួមពីអ្នកប្រើប្រាស់។
• សមត្ថភាពក្នុងការប្រើនិមិត្តសញ្ញា JWT ឡើងវិញនៅក្នុងគម្រោងផ្សេងៗ។
• ចំណុចជឿជាក់តែមួយ។
• ការ​បើក​ដំណើរការ​គម្រោង​លឿន​ជាង​មុន​ដោយ​ប្រើ​មីក្រូ​សេវា/និម្មិត​កុងតឺន័រ (មិន​ចាំបាច់​ដំឡើង និង​កំណត់​រចនាសម្ព័ន្ធ​សមាសភាគ​បន្ថែម)។
• វាអាចទៅរួចក្នុងការទិញការគាំទ្រផ្នែកពាណិជ្ជកម្មពីអ្នកលក់។

អ្វីដែលត្រូវពិចារណានៅពេលរៀបចំផែនការចង្កោម

DBMS

Keycloak ប្រើប្រព័ន្ធគ្រប់គ្រងមូលដ្ឋានទិន្នន័យដើម្បីរក្សាទុក៖ អាណាចក្រ អតិថិជន អ្នកប្រើប្រាស់។ល។
ជួរដ៏ធំទូលាយនៃ DBMS ត្រូវបានគាំទ្រ៖ MS SQL, Oracle, MySQL, PostgreSQL ។ Keycloak ភ្ជាប់មកជាមួយមូលដ្ឋានទិន្នន័យទំនាក់ទំនងដែលភ្ជាប់មកជាមួយ។ វាត្រូវបានណែនាំឱ្យប្រើសម្រាប់បរិស្ថានដែលមិនផ្ទុក - ដូចជាបរិស្ថានអភិវឌ្ឍន៍។

ដើម្បីដំណើរការក្នុងរបៀបក្រុមសកម្ម/សកម្ម និងសកម្ម/អកម្ម ភាពស៊ីសង្វាក់គ្នានៃទិន្នន័យនៅក្នុងមូលដ្ឋានទិន្នន័យទំនាក់ទំនងគឺត្រូវបានទាមទារ ហើយថ្នាំងចង្កោមមូលដ្ឋានទិន្នន័យទាំងពីរត្រូវបានចម្លងតាមសមកាលកម្មរវាងមជ្ឈមណ្ឌលទិន្នន័យ។

ឃ្លាំងសម្ងាត់ចែកចាយ (Infinspan)

ដើម្បីឱ្យចង្កោមដំណើរការបានត្រឹមត្រូវ ការធ្វើសមកាលកម្មបន្ថែមនៃប្រភេទឃ្លាំងសម្ងាត់ខាងក្រោមដោយប្រើក្រឡាចត្រង្គទិន្នន័យ JBoss គឺត្រូវបានទាមទារ៖

វគ្គផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវ - ប្រើដើម្បីរក្សាទុកទិន្នន័យនៅពេលផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ជាក់លាក់។ សំណើពីឃ្លាំងសម្ងាត់នេះជាធម្មតារួមបញ្ចូលតែកម្មវិធីរុករក និងម៉ាស៊ីនមេ Keycloak ប៉ុណ្ណោះ មិនមែនជាកម្មវិធីនោះទេ។

សញ្ញាសម្ងាត់សកម្មភាពត្រូវបានប្រើសម្រាប់សេណារីយ៉ូដែលអ្នកប្រើប្រាស់ត្រូវការបញ្ជាក់សកម្មភាពដោយមិនសមកាលកម្ម (តាមរយៈអ៊ីមែល)។ ឧទាហរណ៍ ក្នុងអំឡុងពេលលំហូរពាក្យសម្ងាត់ភ្លេច ឃ្លាំងសម្ងាត់ actionTokens Infinispan ត្រូវបានប្រើដើម្បីតាមដានទិន្នន័យមេតាអំពីនិមិត្តសញ្ញាសកម្មភាពដែលពាក់ព័ន្ធដែលបានប្រើរួចហើយ ដូច្នេះវាមិនអាចប្រើឡើងវិញបានទេ។

ឃ្លាំងសម្ងាត់ និងការធ្វើឱ្យមិនត្រឹមត្រូវនៃទិន្នន័យជាប់លាប់ - ប្រើដើម្បីរក្សាទុកទិន្នន័យជាប់លាប់ ដើម្បីជៀសវាងសំណួរដែលមិនចាំបាច់ទៅកាន់មូលដ្ឋានទិន្នន័យ។ នៅពេលដែលម៉ាស៊ីនមេ Keycloak ណាមួយធ្វើបច្ចុប្បន្នភាពទិន្នន័យ នោះម៉ាស៊ីនមេ Keycloak ផ្សេងទៀតនៅក្នុងមជ្ឈមណ្ឌលទិន្នន័យទាំងអស់ត្រូវដឹងអំពីវា។

ការងារ - ប្រើសម្រាប់តែផ្ញើសារមិនត្រឹមត្រូវរវាងថ្នាំងចង្កោម និងមជ្ឈមណ្ឌលទិន្នន័យប៉ុណ្ណោះ។

វគ្គអ្នកប្រើប្រាស់ - ប្រើដើម្បីរក្សាទុកទិន្នន័យអំពីវគ្គអ្នកប្រើប្រាស់ដែលមានសុពលភាពសម្រាប់រយៈពេលនៃវគ្គកម្មវិធីរុករករបស់អ្នកប្រើប្រាស់។ ឃ្លាំងសម្ងាត់ត្រូវតែដំណើរការសំណើ HTTP ពីអ្នកប្រើប្រាស់ចុងក្រោយ និងកម្មវិធី។

ការការពារដោយបង្ខំ - ប្រើដើម្បីតាមដានទិន្នន័យអំពីការចូលដែលបរាជ័យ។

ផ្ទុកតុល្យភាព

ឧបករណ៍ផ្ទុកតុល្យភាពគឺជាចំណុចចូលតែមួយទៅកាន់ keycloak ហើយត្រូវតែគាំទ្រវគ្គស្អិត។

ម៉ាស៊ីនមេកម្មវិធី

ពួកវាត្រូវបានប្រើដើម្បីគ្រប់គ្រងអន្តរកម្មនៃសមាសធាតុជាមួយគ្នា ហើយអាចត្រូវបាននិម្មិត ឬដាក់ធុងដោយប្រើឧបករណ៍ស្វ័យប្រវត្តិកម្មដែលមានស្រាប់ និងការធ្វើមាត្រដ្ឋានថាមវន្តនៃឧបករណ៍ស្វ័យប្រវត្តិកម្មហេដ្ឋារចនាសម្ព័ន្ធ។ សេណារីយ៉ូនៃការដាក់ពង្រាយទូទៅបំផុតនៅក្នុង OpenShift, Kubernates, Rancher ។

នេះបញ្ចប់ផ្នែកទីមួយ - ទ្រឹស្តី។ នៅក្នុងស៊េរីបន្ទាប់នៃអត្ថបទ ឧទាហរណ៍នៃការរួមបញ្ចូលជាមួយអ្នកផ្តល់អត្តសញ្ញាណផ្សេងៗ និងឧទាហរណ៍នៃការកំណត់នឹងត្រូវបានវិភាគ។

ប្រភព: www.habr.com