Zentraler JWT-Authentifizierungs-/Autorisierungsdienst

Question

Ich bin dabei, einen zentralen JWT-Authentifizierungs-/Autorisierungsdienst einzurichten. Wir haben mehrere APIs, mit denen ein Client kommunizieren und authentifiziert werden muss.

Mein Gedanke war die Benutzeranmeldung, die sich gegen den JWT-Server authentifizieren würde. Anschließend verwendet es dieses Token, um mit den anderen Ressourcen-APIs zu kommunizieren. Diese APIs würden das Token gegenüber dem JWT-Server validieren, bevor die Anfrage zurückgeschickt wird.

Ist das ein ziemlich anständiger Ansatz für das Problem? Hat jemand so etwas implementiert? Ein Problem, das ich sofort sehe, ist die Kommunikation mit dem JWT-Server.

Answer 1

Das klingt nach einem anständigen Ansatz. Ich habe eine Lösung implementiert, bei der der JWT-Service Teil meiner API war. Wie ich aus Ihrer Frage verstehe, möchten Sie diesen JWT-Dienst separat haben, so dass ein Benutzer mit verschiedenen Diensten/Anwendungen mit demselben Token interagieren kann. Dies wird Single Sign On genannt.

Wenn Sie glauben, dass Ihr JWT-Dienst viel Verkehr erhält, können Sie immer mehr Instanzen für die zusätzliche Last bereitstellen.

Solange Ihr Dienst nur Token aus einer Datenbank erhält und schnell auf eine Anfrage reagiert und keine Berechnungen durchführt, sehe ich nicht, dass es von viel Verkehr betroffen wird.