Servisler Arası Kimlik — İç Ağdan Gelen Her İstek Güvenilir mi?

Bir banka binasında içeri girebilen herkes her kapıyı açabiliyor. Sonra bütün çalışanlara aynı anahtar veriliyor; kasayı kimin açtığını kimse bilmiyor. En sonunda herkese kişiye özel bir kart veriliyor ve her kapının hangi kartlara açıldığı bir listede duruyor.

İçeride olmak bir kimlik değil

Servislerin çoğu, iç ağdan gelen her isteğe güvenir. Ama iç ağdan hatalı bir servis de, VPN’deki bir betik de, ele geçirilmiş bir makine de istek atar.

Herkesin taşıdığı ortak bir anahtar, anahtarsız betiği durdurur. Ama kimin çağırdığını söylemez: anahtarı ortamında taşıyan her pod, havale servisiyle aynı görünür.

Kişiye özel kart, kapıya özel izin

mTLS?Terimin tanımını açmTLSİki tarafın da sertifikasıyla kim olduğunu kanıtladığı TLS bağlantısı. Servisler arası çağrıda çağıranın kimliğini verir.Sözlükte gör →’de bağlantının iki tarafı da sertifikasıyla kim olduğunu kanıtlar. Defter servisi artık her çağıranın adını bilir.

Kimlik tek başına yetmez; her servise yalnızca işi için gereken izin verilir. Buna en az yetki?Terimin tanımını açleast privilegeBir kullanıcıya, servise ya da ajana yalnızca işini yapmasına yetecek kadar izin vermek. Kandırılsa ya da yanılsa bile yapabileceği zararı sınırlar.Sözlükte gör → denir. Konuma değil, her isteğin kimliğine ve iznine bakan bu yaklaşıma sıfır güven?Terimin tanımını açsıfır güvenAğdaki konuma değil, her isteğin kanıtlanmış kimliğine ve iznine güvenen güvenlik yaklaşımı.Sözlükte gör → denir.

Kendin gör

1. Varsayılanla oynat. İç ağa güven: hatalı rapor servisi, VPN’deki betik ve ele geçirilmiş pod da borç yazdı.
2. “Ortak anahtar” seç. Anahtarsız betik durdu; anahtarı taşıyan rapor servisi ve pazarlama pod’u yine borç yazdı.
3. “Servis başına sertifika” seç. Yalnızca havale servisi borç yazabildi.

Tuzaklar

Uzun ömürlü sertifikalar. Sızan bir sertifika süresi dolana kadar işe yarar. Servis sertifikalarını kısa ömürlü tut ve otomatik yenile; bunu bir service mesh ya da sertifika yöneticisi yapabilir.

Ortak sırrı döndürmek. Ortak anahtar sızınca bütün servisler aynı anda güncellenmeli; biri unutulursa çağrıları kırılır. Servis başına kimlikte yalnızca sızan servis değişir.

Kullanıcı ile servisi karıştırmak. JWT isteğin kimin adına yapıldığını söyler, mTLS hangi servisin gönderdiğini. Defter ikisine birden bakabilir.

1
apiVersion: security.istio.io/v1
2
kind: PeerAuthentication
3
metadata:
4
  name: ledger-mtls
5
spec:
6
  selector:
7
    matchLabels:
8
      app: ledger
9
  mtls:
10
    mode: STRICT            # plain-text calls from inside the cluster are refused
11
---
12
apiVersion: security.istio.io/v1
13
kind: AuthorizationPolicy
14
metadata:
15
  name: ledger-debit
16
spec:
17
  selector:
18
    matchLabels:
19
      app: ledger
20
  action: ALLOW
21
  rules:
22
    - from:
23
        - source:
24
            principals: ["cluster.local/ns/payments/sa/transfer-service"]
25
      to:
26
        - operation:
27
            methods: ["POST"]
28
            paths: ["/ledger/debits"]
29
    - from:
30
        - source:
31
            principals: ["cluster.local/ns/reporting/sa/report-service"]
32
      to:
33
        - operation:
34
            methods: ["GET"]

1
@Configuration
2
@EnableMethodSecurity
3
class SecurityConfig {
4

5
    @Bean
6
    SecurityFilterChain chain(HttpSecurity http) throws Exception {
7
        return http
8
                // The client certificate's subject becomes the caller's identity.
9
                .x509(x509 -> x509.subjectPrincipalRegex("CN=(.*?)(?:,|$)"))
10
                .authorizeHttpRequests(auth -> auth
11
                        .requestMatchers(HttpMethod.POST, "/ledger/debits").hasAuthority("SERVICE_transfer-service")
12
                        .requestMatchers(HttpMethod.GET, "/ledger/**").authenticated()
13
                        .anyRequest().denyAll())
14
                .build();
15
    }
16

17
    @Bean
18
    UserDetailsService services() {
19
        // Each service name maps to the single authority it needs.
20
        return name -> User.withUsername(name).password("").authorities("SERVICE_" + name).build();
21
    }
22
}

Kendini sına