마이크로서비스 아키텍처 구축(전면 개정판)

465

11

장

보안

서나

API

도 사용해 이 정보를 요청하는 것이 실제로 웹 쇼핑 서비스인지 확인할 수도 있다. 그

렇지만 이것으로 충분할까? 예를 들어 온라인 쇼핑 시스템에 로그인한 고객은 자기 계정의 세

부 정보를 볼 수 있다. 만약 고객이 자신의 로그인된 자격 증명으로 호출해

다른 사람다른 사람

의 세부 정

보를 요청하도록 웹 쇼핑

UI

를 속일 수 있다면 어떻게 될까?

이 예에서 고객이 다른 사람의 주문을 요청하지 못하도록 막으려면 어떻게 해야 할까? 로그인

하면 유용한 정보를 얻을 수 있는지 확인하기 위해 자기 것이 아닌 다른 주문에 대한 요청을 보

낼 수 있다. 그들은 다른 사람의 정보를 추출할 수 있는지 확인하고자 주문

ID

를 추측하기 시

작할 수 있다. 근본적으로 여기서 벌어진 일은 문제의 사용자는

인증인증

했지만 충분한

권한을 부여권한을 부여

하지 않는 것이다. 여기서 우리는 사용자

A

가 자신의 세부 정보를 요청한 경우에만 시스템의

일부분에서 사용자

A

의 세부 정보 보기 요청이 허용되는지 판단할 수 있길 원한다. 그럼 그 로

직은 어디에 있는 걸까?

11.6.711.6.7

중앙 집중식 업스트림 권한 부여 중앙 집중식 업스트림 권한 부여

혼동된 대리인 문제를 피하기 위한 한 가지 방법은 시스템에서 요청을 수신하는 즉시 필요한

모든 권한 부여를 수행하는 것이다. [그림

11

-

8

]의

SSO

게이트웨이 자체나 웹 쇼핑 서비스에

서 모두 요청을 인증하는 것을 목표로 한다는 의미다. 즉, 호출이 주문 또는 배송 마이크로서비

스로 전송될 때까지 ...