Ⅰ 微服務有什麼作用
維基上對微服務的定義為：一種軟體開發技術- 面向服務的體系結構（SOA）架構樣式的一種變體，它提倡將單一應用程序劃分成一組小的服務，服務之間互相協調、互相配合，為用戶提供最終價值。
微服務的最重要的單一特徵可能是，由於服務較小且可獨立部署，因此不再需要繁瑣的行動才能更改應用程序中的一行文字。
在微服務模型中，組件是獨立部署的，並通過REST，事件流和消息代理的某種組合進行通信-因此，可以針對該服務優化每個單獨服務的堆棧。技術一直在變化，由多個較小的服務組成的應用程序隨著更理想的技術的發展而變得更容易且成本更低。
使用微服務，可以單獨部署單個服務，但是也可以單獨擴展它們。由此帶來的好處是顯而易見的：如果正確完成，微服務比單片應用程序所需的基礎結構要少，因為微服務僅支持對需要它的組件進行精確縮放，而對於單片應用程序則不需要整個應用程序。
比如像HC服務網格是基於Istio及容器技術的微服務治理平台，以無侵入方式為多語言、不同部署形態的異構應用提供服務治理、服務監控和安全控制等微服務管理能力。能夠將服務通信、觀測與安全能力下沉到基礎設施層，降低分布式應用開發復雜度，為應用運維減負，推動企業應用整體向服務治理平台遷移，提升IT系統的整體承載能力、高可用能力。
Ⅱ 微信小程序農行微服務安全嗎
安全。
「農行微服務」微信小程序為中國農業銀行官方小程序，是有安全保障的。
微信小程序引爆了人們對互聯網新生態的無限暢想，農業銀行嗅覺敏銳，在五大國有銀行中率先推出了「農行微服務」小程序，致力連接「線下-線上」，玩轉「場景+服務」。
Ⅲ 什麼是 微服務
微服務架構是一種方法，其中單個應用程序由許多鬆散耦合且可獨立部署的較小服務組成。
微服務（或微服務架構）是一種雲原生架構方法，其中單個應用程序由許多鬆散耦合且可獨立部署的較小組件或服務組成。
這些服務通常
雖然關於微服務的大部分討論都圍繞架構定義和特徵展開，但它們的價值可以通過相當簡單的業務和組織優勢來更普遍地理解：
微服務也可以通過它們 不是 什麼來理解。
與微服務架構最常進行的兩個比較是單體架構和面向服務的架構 (SOA)。
微服務和單體架構之間的區別在於，微服務由許多較小的、鬆散耦合的服務組成一個應用程序，而不是大型、緊密耦合的應用程序的單體方法
微服務和 SOA 之間的區別可能不太清楚。
雖然可以在微服務和 SOA 之間進行技術對比，尤其是圍繞 企業服務匯流排 (ESB) 的角色，但更容易將差異視為 范圍之一 。
SOA 是企業范圍內的一項努力，旨在標准化 組織中 所有 Web 服務相互通信和集成的方式，而微服務架構是特定於應用程序的。
微服務可能至少與開發人員一樣受高管和項目負責人的歡迎。
這是微服務更不尋常的特徵之一，因為架構熱情通常是為軟體開發團隊保留的。
原因是微服務更好地反映了許多業務領導者希望構建和運行他們的團隊和開發流程的方式。
換句話說，微服務是一種架構模型，可以更好地促進所需的操作模型。
在IBM 最近對 1,200 多名開發人員和 IT 主管進行的一項調查中，87% 的微服務用戶同意微服務的採用是值得的。
也許微服務最重要的一個特點是，由於服務更小並且可以獨立部署，它不再需要國會的法案來更改一行代碼或在應用程序中添加新功能。
微服務向組織承諾提供一種解毒劑，以解決與需要大量時間的小改動相關的內心挫敗感。
它不需要博士學位。
在計算機科學中看到或理解一種更好地促進速度和敏捷性的方法的價值。
但速度並不是以這種方式設計服務的唯一價值。
一種常見的新興組織模型是圍繞業務問題、服務或產品將跨職能團隊聚集在一起。
微服務模型完全符合這一趨勢，因為它使組織能夠圍繞一個服務或一組服務創建小型、跨職能的團隊，並讓他們以敏捷的方式運行。
微服務的鬆散耦合還為應用程序建立了一定程度的故障隔離和更好的彈性。
服務的小規模，加上清晰的邊界和溝通模式，使新團隊成員更容易理解代碼庫並快速為其做出貢獻——在速度和員工士氣方面都有明顯的好處。
在傳統的 n 層架構模式中，應用程序通常共享一個公共堆棧，其中一個大型關系資料庫支持整個應用程序。
這種方法有幾個明顯的缺點——其中最重要的是應用程序的每個組件都必須共享一個公共堆棧、數據模型和資料庫，即使對於某些元素的工作有一個清晰、更好的工具。
它造成了糟糕的架構，並且對於那些不斷意識到構建這些組件的更好、更有效的方法是可用的開發人員來說是令人沮喪的。
相比之下，在微服務模型中，組件是獨立部署的，並通過 REST、事件流和消息代理的某種組合進行通信——因此每個單獨服務的堆棧都可以針對該服務進行優化。
技術一直在變化，由多個較小的服務組成的應用程序更容易和更便宜地隨著更理想的技術發展而變得可用。
使用微服務，可以單獨部署單個服務，但也可以單獨擴展它們。由此產生的好處是顯而易見的：如果做得正確，微服務比單體應用程序需要更少的基礎設施，因為它們只支持對需要它的組件進行精確擴展，而不是在單體應用程序的情況下對整個應用程序進行擴展。
微服務的顯著優勢伴隨著重大挑戰。
從單體架構到微服務意味著更多的管理復雜性——更多的服務，由更多的團隊創建，部署在更多的地方。
一項服務中的問題可能會導致或由其他服務中的問題引起。
日誌數據（用於監控和解決問題）更加龐大，並且在服務之間可能不一致。
新版本可能會導致向後兼容性問題。
應用程序涉及更多的網路連接，這意味著出現延遲和連接問題的機會更多。
DevOps 方法可以解決其中的許多問題，但 DevOps 的採用也有其自身的挑戰。
然而，這些挑戰並沒有阻止非採用者採用微服務——或者採用者深化他們的微服務承諾。
新的 IBM 調查數據 顯示，56% 的當前非用戶可能或非常可能在未來兩年內採用微服務，78% 的當前微服務用戶可能會增加他們在微服務上投入的時間、金錢和精力
微服務架構通常被描述為針對 DevOps 和持續集成/持續交付 (CI/CD) 進行了優化，在可以頻繁部署的小型服務的上下文中，原因很容易理解。
但另一種看待微服務和 DevOps 之間關系的方式是，微服務架構實際上 需要 DevOps 才能成功。
雖然單體應用程序具有本文前面討論過的一系列缺點，但它們的好處是它不是一個具有多個移動部件和獨立技術堆棧的復雜分布式系統。
相比之下，鑒於微服務帶來的復雜性、移動部件和依賴項的大量增加，在部署、監控和生命周期自動化方面沒有大量投資的情況下使用微服務是不明智的。
雖然幾乎任何現代工具或語言都可以在微服務架構中使用，但有一些核心工具已成為微服務必不可少的邊界定義：
微服務的關鍵要素之一是它通常非常小。
（沒有任意數量的代碼可以確定某物是否是微服務，但名稱中的「微」就在那裡。）
當Docker在 2013 年迎來現代容器時代時，它還引入了與微服務最密切相關的計算模型。
由於單個容器沒有自己的操作系統的開銷，它們比傳統的虛擬機更小更輕，並且可以更快地啟動和關閉，使其成為微服務架構中更小、更輕的服務的完美匹配.
隨著服務和容器的激增，編排和管理大量容器很快成為關鍵挑戰之一。
Kubernetes是一個開源容器編排平台，已成為最受歡迎的編排解決方案之一，因為它做得非常好。
微服務通常通過 API 進行通信，尤其是在首次建立狀態時。
雖然客戶端和服務確實可以直接相互通信，但 API 網關通常是一個有用的中間層，尤其是當應用程序中的服務數量隨著時間的推移而增長時。
API 網關通過路由請求、跨多個服務扇出請求以及提供額外的安全性和身份驗證來充當客戶端的反向代理。
有多種技術可用於實現 API 網關，包括 API 管理平台，但如果使用容器和 Kubernetes 實現微服務架構，則網關通常使用 Ingress 或最近的Istio 來實現。
雖然最佳實踐可能是設計無狀態服務，但狀態仍然存在，服務需要了解它。
雖然 API 調用通常是為給定服務初始建立狀態的有效方式，但它並不是保持最新狀態的特別有效方式。
不斷的輪詢，「我們到了嗎？」 保持服務最新的方法根本不切實際。
相反，有必要將建立狀態的 API 調用與消息傳遞或事件流結合起來，以便服務可以廣播狀態的變化，而其他相關方可以監聽這些變化並進行相應的調整。
這項工作可能最適合通用消息代理，但在某些情況下，事件流平台（例如Apache Kafka）可能更適合。
通過將微服務與事件驅動架構相結合，開發人員可以構建分布式、高度可擴展、容錯和可擴展的系統，可以實時消費和處理大量事件或信息。
無伺服器架構將一些核心雲和微服務模式得出其合乎邏輯的結論。
在無伺服器的情況下，執行單元不僅僅是一個小服務，而是一個函數，它通常可以只是幾行代碼。
將無伺服器功能與微服務分開的界限很模糊，但通常認為功能比微服務還要小。
無伺服器架構和功能即服務 (FaaS)平台與微服務的相似之處在於，它們都對創建更小的部署單元和根據需求精確擴展感興趣。
微服務不一定與雲計算完全相關，但它們如此頻繁地結合在一起有幾個重要原因——這些原因超越了微服務成為新應用程序的流行架構風格以及雲成為新應用程序的流行託管目的地的原因。
微服務架構的主要優勢之一是與單獨部署和擴展組件相關的利用率和成本優勢。
雖然這些優勢在一定程度上仍然存在於本地基礎設施中，但小型、獨立可擴展的組件與按需、按使用付費的基礎設施相結合是可以找到真正成本優化的地方。
其次，也許更重要的是，微服務的另一個主要好處是每個單獨的組件都可以採用最適合其特定工作的堆棧。
當您自己管理堆棧擴散時，可能會導致嚴重的復雜性和開銷，但是將支持堆棧作為雲服務使用可以大大減少管理挑戰。
換句話說，雖然推出自己的微服務基礎設施並非不可能，但不可取，尤其是剛開始時。
在微服務架構中，有許多常見且有用的設計、通信和集成模式有助於解決一些更常見的挑戰和機遇，包括：
例如，在桌面上使用的應用程序將具有與移動設備不同的屏幕尺寸、顯示和性能限制。
BFF 模式允許開發人員使用該界面的最佳選項為每個用戶界面創建和支持一種後端類型，而不是嘗試支持適用於任何界面但可能會對前端性能產生負面影響的通用後端。
例如，在電子商務網站上，產品對象可能通過產品名稱、類型和價格來區分。
聚合是應被視為一個單元的相關實體的集合。
因此，對於電子商務網站，訂單將是買家訂購的產品（實體）的集合（集合）。
這些模式用於以有意義的方式對數據進行分類。
在微服務架構中，服務實例會因伸縮、升級、服務故障甚至服務終止而動態變化。
這些模式提供了發現機制來應對這種短暫性。
負載平衡可以通過使用 健康 檢查和服務故障作為重新平衡流量的觸發器來使用服務發現模式。
適配器模式的目的是幫助翻譯不兼容的類或對象之間的關系。
依賴第三方 API 的應用程序可能需要使用適配器模式來確保應用程序和 API 可以通信。
這個色彩繽紛的名字指的是藤蔓（微服務）如何隨著時間的推移慢慢地超越並扼殺一棵樹（單體應用程序）。
雖然有很多模式可以很好地完成微服務，但同樣數量的模式可以很快讓任何開發團隊陷入困境。
其中一些——改寫為微服務「不要」——如下：
一旦應用程序變得太大且難以輕松更新和維護，微服務是一種管理復雜性的方法。
只有當您感覺到單體架構的痛苦和復雜性開始蔓延時，才值得考慮如何將該應用程序重構為更小的服務。
在你感受到那種痛苦之前，你甚至沒有真正擁有需要重構的單體。
嘗試在沒有 a) 適當的部署和監控自動化或 b) 託管雲服務來支持您現在龐大的異構基礎設施的情況下進行微服務，會帶來很多不必要的麻煩。
省去你自己的麻煩，這樣你就可以把時間花在擔心狀態上。
最好傾向於更大的服務，然後只在它們開始開發微服務解決的特徵時才將它們分開——即部署更改變得困難和緩慢，通用數據模型變得過於復雜，或者不同部分服務有不同的負載/規模要求。
微服務和 SOA 之間的區別在於，微服務項目通常涉及重構應用程序以便更易於管理，而 SOA 關注的是改變 IT 服務在企業范圍內的工作方式。
一個演變成 SOA 項目的微服務項目可能會因自身的重量而崩潰。
你最好從一個你可以處理的速度開始，避免復雜性，並盡可能多地使用現成的工具。
Ⅳ 微服務網關安全
單體應用場景下只需要考慮從外部進來的請求是不是安全的，裡面涉及到的服務之間相互的調用是不需要我們考慮安全的，但是在微服務場景下從訂單去調用物流的時候，是需要跨網路，從一個進程進入另一個進程，所以需要考慮 服務之間的通信安全
對於一個服務來說，可觀測性是一個很重要的指標，可觀測性包含了三個方面的意義
真正的人
可能是一個 Web App 或者手機 App，用戶會直接訪問這些應用
存儲資源的伺服器
Ⅳ SpringCloud | 微服務應用安全——Security
當用戶訪問某一資源時，需對用戶身份進行校驗，確保用戶的可用性；
若用戶不可用，則返回錯誤信息，不允許訪問某一資源；
若用戶安全可用，則返回訪問令牌；
通過返回的令牌來校驗該用戶是否有許可權訪問這個資源；
若有授權，則返回相應的資源；
若未授權，則返回錯誤的信息。
目前，Spring Cloud提供的安全解決方案是通過Spring Cloud Security整合OAuth 2.0及JWT（Javascript WebToken）來構建我們的安全體系。
1、Spring Boot的應用安全
2、微服務安全解決方案
3、基於OAuth 2.0的認證
4、基於JWT的認證
每一個 不曾起舞的日子，都是對生命的辜負。一個人知道自己為什麼而活，就可以忍受任何一種生活。其實人跟樹是一樣的，越是嚮往高處的陽光，它的根就越要伸向黑暗的地底。
Ⅵ 【知識總結】4.微服務的治理去中心化，服務發現，安全，部署
通常「治理」的意思是構建方案，並且迫使人們通過努力達到組織的目標。SOA治理指導開發者開發可重用的服務，以及隨著時間推移，服務應該怎麼被設計和開發。治理建立了服務提供者和消費者之間對於服務的協定，告訴消費者能從服務提供獲取到什麼樣的支持。
SOA中有兩種常見的治理：
那麼微服務中的治理是什麼意思呢？
在微服務架構中，不同的微服務之間相互獨立，並且基於不同的平台和技術。因此，沒有必要為服務的設計和開發定義一個通用的標准。
總結微服務的治理去中心化如下：
微服務架構下，有大量的微服務需要處理。由於微服務的快速和敏捷研發，他們的位置可能會動態變化。因此在運行時需要能夠發現服務所在的位置，服務發現可以解決這個問題。
注冊中心有微服務的實例和位置信息，微服務在啟動時向注冊中心注冊自己的信息，關閉時注銷。其它使用者能夠通過注冊中心找到可用的微服務和相關信息。
為了能找到可用的服務和他們的位置信息，需要服務發現機制。有兩種發現機制，客戶端發現和服務端發現。
客戶端發現 - 客戶端或者API網關通過查詢服務注冊中心或者服務的位置信息。
客戶端/API網關必須調用服務注冊中心組件，實現服務發現的邏輯。
服務端發現 - 客戶端/API網關把請求發送到已知位置信息的組件（比如負載均衡器）。組件去訪問注冊中心，找到微服務的位置信息。
類似Kubernetes（ http://kubernetes.io/v1.1/docs/user-guide/services.html ）這種微服務部署解決方案，就提供了伺服器端的自動發現機制。
微服務的部署方式也特別重要，以下是關鍵：
Docker（一個運行在linux上並且開源的應用，能夠協助開發和運維把應用運行在容器中）能夠快速部署微服務，包括關鍵幾點：
相對於傳統的虛擬機模式，利用docker容器，構建、發布、啟動微服務將會變得十分快捷。
通過Kubernetes能夠進一步擴展Docker的能力，能夠從單個linux主機擴展到linux集群，支持多主機，管理容器位置，服務發現，多實例。都是微服務需求的重要特性。因此，利用Kubernetes管理微服務和容器的發布，是一個非常有力的方案。
圖11，展示了零售應用的微服務部署。每個服務都在獨立的容器中，每個主機有兩個容器，通過kubernetes可以隨意調整容器的數量。
在實際運行環境中，微服務的安全也非常重要。我們先看下單體架構下安全是如何實現的。
一個典型的單體應用，安全問題主要是「誰調用」，「調用者能做什麼」，「如何處理」。伺服器接收到請求後，一般都在處理鏈條的最開始，通過安全組件來對請求的信息進行安全處理。
我們能直接把這種處理方式應用在微服務架構中嗎？答案是可以的，需要每個微服務都實現一個安全組件從資源中心獲取對應的用戶信息，實現安全控制。這是比較初級的處理方式。可以嘗試採用一些標準的API方式，比如OAuth2和OpenID。深入研究之前，可以先概括下這兩種安全協議以及如何使用。
OAuth2-是一個訪問委託協議。需要獲得許可權的客戶端，向授權服務申請一個訪問令牌。訪問令牌沒有任何關於用戶/客戶端的信息，僅僅是一個給授權伺服器使用的用戶引用信息。因此，這個「引用的令牌」也沒有安全問題。
OpenID類似於OAuth，不過除了訪問令牌以外，授權伺服器還會頒發一個ID令牌，包含用戶信息。通常由授權伺服器以JWT（JSON Web Token）的方式實現。通過這種方式確保客戶和伺服器端的互信。JWT令牌是一種「有內容的令牌」，包含用戶的身份信息，在公共環境中使用不安全。
現在我們看下如何在網路零售網站中應用這些協議保障微服務的安全。
圖12中所示，是實現微服務安全的關鍵幾步：
JWT包含必要的用戶信息，如果每個微服務都能夠解析JWT，那麼你的系統中每個服務都能處理身份相關的業務。在每個微服務中，可以有一個處理JWT的輕量級的組件。
在微服務中怎麼支持事務呢？事實上，跨多個微服務的分布式事務支持非常復雜，微服務的設計思路是盡量避免多個服務之間的事務操作。
解決辦法是微服務的設計需要遵循功能自包含和單職責原則。跨越多個微服務支持分布式事務在微服務架構中不是一個好的設計思路，通常需要重新劃定微服務的職責。某些場景下，必須要跨越服務支持分布式事務，可以在每個微服務內部利用「組合操作」。
最關鍵的事情是，基於單職責原則設計微服務，如果某個服務不能正常執行某些操作，那麼這個服務是有問題的。那麼上游的操作，都需要在各自的微服務中執行回滾操作。
微服務架構相比較單體的設計而言，引入了更多服務，在每個服務級別會增加發生錯誤的可能性。一個服務可能由於網路問題、底層資源等各種問題導致失敗。某個服務的不可能不應該影響整個應用的崩潰。因此，微服務系統必須容錯，甚至自動回復，對客戶端無感知。
任何服務在任何時間都有可能出問題，監控系統需要能夠發現問題，並且自動恢復。微服務環境下有不少常用的模式。
微服務中請求的失敗率達到一定程度後，系統中的監控可以激活線路中斷。當正常請求的數量恢復到一定程度後，再關閉線路中斷的開關，使系統回復到正常狀態。
這個模式可以避免不必要的資源消耗，請求的處理延遲會導致超時，藉此可以把監控系統做的更完善。
一個應用會有很多微服務租車，單個微服務的失敗不應該影響整個系統。防火牆模式強調服務直接的隔離性，微服務不會受到其它微服務失敗的影響。
超時機制是在確定不會再有應答的情況下，主動放棄等待微服務的響應。這種超時應該是可配置的。
哪些情況下，如何使用這些模式呢？大多數情況，都應該在網關處理。當微服務不可用或者沒有回復時，網關能夠決定是否執行線路中斷或者啟動超時機制。防火牆機制同樣重要，網關是所有請求的唯一入口，一個微服務的失敗不應該影響到其它微服務。網關也是獲得微服務狀態、監控信息的中心。
我們已經討論了微服務的架構和各種特性，以及如何應用在一個現代的IT系統中。同時也需要意識到，微服務不是解決所有問題的靈丹妙葯。盲目追求流行的技術概念並不能解決掉企業IT系統的問題。
微服務有很多優勢，但是僅靠微服務不能解決企業IT中的所有問題。例如，微服務需要去除ESB，但是現實的IT系統中，大量的應用和服務是基於ESB而不是微服務。集成現有的系統，需要一些集成匯流排。實際情況是，微服務和其它企業架構並存。
Ⅶ 個人對微服務身份認證與鑒權的認識
從單體應用架構到分布式應用架構再到微服務架構，應用的架構通過不停的改進升級的方式滿足不斷擴大的業務需求。隨著應用架構的改變，身份認證的方式也在發生變化，為了適應架構的變化、需求的變化，身份認證與鑒權方案也需要不斷的變革。
在傳統單體應用架構中，身份認證從來都不是問題，簡單粗暴的通過一個許可權的攔截器，配合session基本都解決了！（這里簡單說說session， 因為Http協議是一種無狀態協議，即每次服務端接收到客戶端的請求時，都是一個全新的請求，伺服器並不知道客戶端的歷史請求記錄；session的主要目的就是為了彌補Http的無狀態特性。簡單的說，就是伺服器可以利用session存儲客戶端在同一個會話期間的一些操作記錄。）
在於分布式應用架構中，也有很多處理方式，最流行無非以下幾種:
接下主要聊聊在微服務架構中的一些方案和個人理解
採用單點登錄方案，意味著每個面向用戶的服務都必須與認證服務交互，這會產生大量非常瑣碎的網路流量，同時這個防範實現起來也相當的復雜，同時重構相當麻煩，因為需要兼容所有系統。在其他方面，選擇SSO方案安全性會很好，用戶登錄狀態是不透明的，可防止攻擊者從狀態中推斷任何有用的信息。
分布式會話方案原理主要是將關於用戶認證的信息存儲在共享存儲中，且通常由用戶會話作為 key 來實現的簡單分布式哈希映射。當用戶訪問微服務時，用戶數據可以從共享存儲中獲取。在某些場景下，這種方案很不錯，用戶登錄狀態是不透明的。同時也是一個高可用且可擴展的解決方案。這種方案的缺點在於共享存儲需要一定保護機制，因此需要通過安全鏈接來訪問，這時解決方案的實現就通常具有相當高的復雜性了。
令牌在客戶端生成，由身份驗證服務進行簽名，並且必須包含足夠的信息，以便可以在所有微服務中建立用戶身份。令牌會附加到每個請求上，為微服務提供用戶身份驗證，這種解決方案的安全性相對較好，但身份驗證注銷是一個大問題，緩解這種情況的方法可以使用短期令牌和頻繁檢查認證服務等。對於客戶端令牌的編碼方案，Borsos 更喜歡使用 JSON Web Tokens（JWT），它足夠簡單且庫支持程度也比較好。
這個方案意味著所有請求都通過網關，從而有效地隱藏了微服務。 在請求時，網關將原始用戶令牌轉換為內部會話 ID 令牌。在這種情況下，注銷就不是問題，因為網關可以在注銷時撤銷用戶的令牌。
若對過期要求不高的場景，可以不使用Redis，直接使用 JWT 的過期時間即可
登錄流程：
驗證流程：
Ⅷ 如何用Nginx快速搭建一個安全的微服務架構
教你如何用Nginx搭建一個安全的、快速的微服務架構
今天我們要談論微服務以及如何使用Nginx構建一個快速的、安全的網路系統。最後，我們將向您展示一個使用Fabric模式如何非常快速和輕松地構建一個微服務的demo。
在我們探討Fabric模式之前，我想談一談微服務並且從Nginx的角度來看這意味著什麼。
0：56 - 大轉變
微服務已經引起了應用程序架構的重大轉變。
當我第一次開始構建應用程序時，他們都是差不多的。幻燈片中所展示的單體架構也象徵了應用程序的構造方式。
目前存在著某種類型的虛擬機（VM），對我來說，就是通常的Java。在虛擬機中應用的功能組件以對象的形式存在，這些對象是在內存中相互通訊的，它們將來來回回處理並進行方法調用。偶爾，你會採用諸如通知等機制來接觸到其他系統以便獲取數據或傳遞信息。
有了微服務之後，應用程序如何構建的範式是完全不同的了。你的功能組件會從在同一個主機的內存中通過虛擬機相互通訊轉變到部署在容器中，並且使用Restful API調用通過HTTP來相互連接。
這是非常強大的，因為它賦予了你功能隔離。它為您提供了更細粒度的可伸縮性，並且你可以獲得更好地處理故障的彈性。很多情況下這是簡單的事實，你只需要使用HTTP進行跨網路調用。
現在，這種方法也有一些缺點。
一件軼事
我有一個暗黑的秘密，我是一個微軟的員工並且從事.Net開發已經很多年了。當我在那兒的時候，我搭建了一個他們的名為Showcase的視頻發布平台。
Showcase是一個用來將微軟內部發布的所有視頻發布到網上的工具。人們可以觀看這些視頻並進行學習，比如Microsoft Word的使用提示和技巧。這是一個非常受歡迎的平台，我們有很多人使用它，並且其中很多人都會在我們發布的視頻上發表評論。
Showcase從一開始就是一個.Net單體應用，隨著它日益受歡迎，我們決定應該將它更換為SOA架構。轉換是相對容易的。Visual Studio提供了本質上的翻轉開關的能力，也就是將你的DLL調用轉變為Restful API調用。隨著一些小的重構，我們能夠讓我們的代碼運行得相當好。我們也為這些評論和應用內的社區功能使用智能社區服務。
緊密的迴路問題
看起來我們是SOA可行的，在我們的首次測試中，一切都工作正常，直到我們將系統切換到我們的Staging環境並開始使用生產環境數據時，我們就會看到一些嚴重的問題。這些問題在在頁面上有很多評論。
這是一個非常受歡迎的平台，其中的一些頁面已經有多達2000條評論了。當我們深入這些問題時，我們意識到這些頁面需要花費一分鍾進行渲染的原因是因為智能社區服務首先需要填充用戶名，然後對每一個用戶名都需要發起一個對於用戶資料庫的網路調用來獲得用戶詳細信息並且填充在渲染頁面上。這是非常低效的，需要一到兩分鍾來渲染頁面，而在內存中進行通常只需要5到6秒鍾。
緩解
當我們經歷了發現和解決問題的過程後，我們最終通過一些措施來調整優化系統，比如對所有的請求進行分組。我們緩存了一些數據，最終我們優化了網路來真正的提高性能。
所以，這與微服務有什麼關系呢？對的，藉助於微服務，你基本上是採用SOA架構的，並且會將其放入超光速引擎中。在SOA架構中所有的對象都是包含在單個虛擬機中並且在其內部管理，在內存中相互通訊，而現在微服務中是使用HTTP進行數據交換的。
當這樣做沒有問題時，你會獲得很好的性能和線性可伸縮性。
Nginx能夠很好地與微服務工作
Nginx是一個你可以用來過渡到微服務的最佳工具之一。
關於Nginx和微服務的一些歷史。我們從一開始就參與了微服務運動，還是第一個從Docker Hub下載應用的，我們的客戶以及那些擁有一些世界上最大的微服務安裝量的最終用戶廣泛地在他們的基礎設施使用Nginx。
原因是Nginx很小、很快並且很可靠。
Nginx微服務參考架構
我們還致力於在Nginx內部使用微服務工作已經有一段時間了。這是一個我們已經搭建的程式化的Nginx微服務參考架構，目前正在AWS上運行。
我們擁有6個核心的微服務，它們都運行在Docker容器里。我們決定建立一個多語種的應用，所以每個容器都可以運行不同的語言，我們目前使用了Ruby、Python、PHP、Java和Node.js。
我們搭建了這個使用十二要素應用的系統，稍加修改，就會使其更好地為微服務工作從而可以替代Roku平台。稍後，我們將向您展示一個實際上運行在demo里的應用。
MRA的價值
為什麼我們要建立這樣一個參考的微服務架構呢？
我們建立這個參考架構是因為我們需要給我們的客戶提供構建微服務的藍圖，我們也想在微服務上下文中測試Nginx和Nginx Plus的功能，弄清楚如何才能更好地利用它的優勢。最後，我們要確保我們對於微服務生態系統以及其可以給我們提供什麼有一個深入的理解。
網路問題
讓我們回到我們討論的大轉變。
從將運行在內存里並且被虛擬機管理的你的應用的所有功能組件遷移到通過網路進行工作並且相互通訊的方式，你會本質上引入一系列為了應用有效工作需要你解決的問題。
第一你需要服務發現，第二，你需要在架構中為所有不同的實例進行負載均衡，然後還有第三個，你需要操心性能和安全。
無論是好是壞，這些問題密不可分，你必須做權衡，有希望的是我們有一個可以解決所有這些問題的解決方案。
讓我們更深入地看待每一個問題。
服務發現
讓我們來談談服務發現。在單體應用中，APP引擎會管理所有的對象關系，你永遠不必擔心一個對象與另一個對象的相對位置，你只需要簡單的調用一個方法，虛擬機會連接到對象實例，然後在調用完畢後銷毀。
然後有了微服務，你需要考慮那些服務的位置。不幸的是，這不是一個普遍的標准流程。您正在使用的各種服務注冊中心，無論是Zookeeper、Consul、etcd或者其它的，都會以不同的方式進行工作。在這個過程中，你需要注冊你的服務，還需要能夠讀取這些服務在哪裡並且可以被連接。
負載均衡
第二個問題是關於負載均衡的。當您擁有多個服務實例時，您希望能夠輕松地連接到它們，將您的請求在它們中高效地分發，並以最快的方式執行，所以不同實例之間的負載均衡是非常重要的問題。
不幸的是，最簡單形式的負載均衡是非常低效的。當你開始使用不同的更加復雜的方案做負載均衡時，它也變得更加復雜並且不易於管理。理想情況下，您希望您的開發人員能夠基於他們的應用程序的需求決定何種負載均衡方案。例如，如果你連接到一個有狀態的應用程序，你需要擁有持久化，這樣可以確保你的Session信息會被保留。
安全和快速通訊
也許微服務最令人生畏的領域是性能和安全。
當在內存中運行時，一切都很快。現在，運行在網路上就會慢了一個數量級。
被安全地包含在一個系統中的信息，通常是二進制格式的，現在會被用文本格式在網路上傳輸。現在是比較容易在網路上布置嗅探器並能夠監聽你的應用正在被移動的所有數據。
如果要在傳輸層加密數據，那麼會在連接速率和CPU使用率方面引入顯著的開銷。SSL/TLS在其全面實施階段需要九個步驟來初始化一個請求。當你的系統每天需要處理成千上萬、幾萬、數十萬或數百萬的請求時，這就成為性能的一個重要障礙了。
一個解決方案
我們已經在Nginx開發的一些解決方案，我們認為，會解決所有的這些問題，它賦予你健壯的服務發現、非常棒的用戶可配置負載均衡以及安全和快速加密。
網路架構
讓我們來談談你可以安裝和配置你的網路架構的各種方法。
我們提出了三種網路模型，它們本身並不相互排斥，但我們認為它們屬於多種格式的。這三種模式是Proxy模式、Router Mesh模式和Fabric模式——這是最復雜的，並在許多方面在其頭部進行負載均衡。
Proxy模式
Proxy模式完全聚焦於你的微服務應用的入站流量，並且事實上忽略內部通訊。
你會獲得Nginx提供的所有的HTTP流量管理方面的福利。你可以有SSL/TLS終止、流量整形和安全，並且藉助於最新版本的Nginx Plus和ModSecurity，你可以獲得WAF能力。
你也可以緩存，你可以將Nginx提供給你的單體應用的所有東西添加到你的微服務系統里，並且藉助於Nginx Plus，你可以實現服務發現。當你的API實例上下浮動時，Nginx Plus可以在負載均衡工具里動態地添加和減去它們。
Router Mesh模式
Router Mesh模式類似於Proxy模式，在其中我們有一個前端代理服務來管理接入流量，但它也在服務之間添加了集中式的負載均衡。
每個服務連接到集中式的Router Mesh，它管理不同服務之間的連接分發。Router Mesh模式還允許你在熔斷器模式中搭建，以便可以對你的應用添加彈性並允許你採取措施來監控和拉回你的失效的服務實例。
不幸的是，因為該模式增加了一個額外的環節，如果你不得不進行SSL/TLS加密，它事實上加劇了性能問題。這就是引入Fabric模式的原因。
Fabric模式
Fabric模式是將其頭部的所有東西翻轉的模式。
就像之前的另外兩個模式一樣，在前面會有一個代理伺服器來管理流入流量，但與Router Mesh模式不同的地方就是你用運行在每個容器里的Nginx Plus來替代了集中式的Router。
這個Nginx Plus實例對於所有的HTTP流量作為反向和正向代理，使用這個系統，你可以獲得服務發現、健壯的負載均衡和最重要的高性能加密網路。
我們將探討這是如何發生的，以及我們如何處理這項工作。讓我們先來看看一個服務如何連接和分發他們的請求結構的正常流程。
正常的流程
在這個圖中，你可以看到投資管理器需要跟用戶管理器通訊來獲取信息。投資管理器創建了一個HTTP客戶端，該客戶端針對服務注冊中心發起了一個DNS請求並獲得返回的一個IP地址，接著初始化了一個到用戶管理器的SSL/TLS連接，該連接需要通過九階段的協商或者是」握手」過程。一旦數據傳輸完畢，虛擬機會關閉連接並進行HTTP客戶端的垃圾回收。
整個過程就是這樣。這是相當簡單和易於理解的。當你把它分解成這些步驟時，您可以看到該模式是如何真正完成請求和響應過程的。
在Fabric模式中，我們已經改變了這一點。
Fabric模式的細節
你會注意到的第一件事是Nginx Plus是運行在每一個服務里的，並且應用程序代碼是在本地與Nginx Plus通信的。因為這些是本地連接，你不需要擔心加密問題。它們可以是從Java或者PHP代碼到Nginx Plus實例的HTTP請求，並且都是在容器內的本地HTTP請求。
你也注意到Nginx Plus會管理到服務注冊中心的連接，我們有一個解析器，通過非同步查詢注冊中心的DNS實例來獲取所有的用戶管理器實例，並且預先建立連接，這樣當Java服務需要從用戶管理器請求一些數據的時候，可以使用預先建立的連接。
持久的SSL/TLS連接
微服務之間的有狀態的、持久化的並且可以加密的連接是真正的益處。
記得在第一個圖中服務實例是如何通過一些流程的吧，比如創建HTTP客戶端、協商SSL/TLS連接、發起請求並關閉的嗎？在這里，Nginx預先建立了微服務之間的連接，並使用Keepalive特性，保持調用之間的持續連接，這樣你就不必為每一個請求處理SSL/TLS協商了。
本質上，我們創建了一個迷你的從服務到服務的VPN連接。在我們最初的測試中，我們發現連接速度增加了77%。
熔斷器Plus
在Fabric模式以及Router Mesh模式中，你也可以從創建和使用熔斷器模式中獲得好處。
本質上，您定義了一個在服務內部的活躍的健康檢查，並設置緩存，以便在服務不可用的情況下保留數據，從而獲得完整的熔斷器功能。
所以，現在我可以確定你認為Fabirc模式聽起來很酷，並且想在實際環境中躍躍欲試。
Ⅸ 有人推薦雲原生安全，不知道它的優勢是什麼
您好，你的問題，我之前好像也遇到過，以下是我原來的解決思路和方法，希望能幫助到你，若有錯誤，還望見諒！展開全部
雲原生安全真的不同?它是必須的?我的答案是是的。以下是雲原生網路安全的特點，它們展示了這些關鍵區別，以及它們如何更有效地保護企業安全。
今天，組織所面臨的威脅在嚴重性和頻率上增加。根據卡巴斯基實驗室的統計，2017年前幾個月，手機勒索軟體增長超過250%。
這些例子證明，攻擊越來越聰明，企業正在變得脆弱，威脅行為者的損害遠遠超過了好處， 至少在某些情況下。現在是挑戰傳統智慧的時候了。傳統的虛擬機環境和被動策略，虛擬機上的任何需要持續監控的東西都不再適用。
雲原生安全真的是不同的嗎?這是必須的嗎?我會說是的。雲原生是企業安全的下一個發展趨勢，因為它使每個組織都能夠使用現代快速移動組織(如Airbnb，Google和Facebook)使用的相同工具和流程。IT是一種文化而非技術轉變。
以下是雲原生網路安全的特點，它們展示了這些關鍵區別，以及它們如何更有效地保護公司安全。
1、雲原生安全允許更多的控制
傳統的虛擬機安全和雲原生安全都可以防止黑客嘗試連接到你的伺服器。但是，雲原生安全可以做更多。由於微服務使用的網路模式更具體和更精確，因此使用機器學習創建預測模型要容易得多。對於傳統的虛擬機，多個流程並行運行，創建和維護准確捕獲全部允許流量的規則要困難得多。
2、雲原生安全防止中間人的黑客入侵
黑客使用的技術之一是在數據中心找到「遺留」的服務，並使用這些升級的許可權。雲原生計算在這種情況下很有用，因為很少有「意外」或「遺留」服務。
在這里，雲，更具體地說，雲原生，安全性有助於覆蓋整個數據中心，並准確識別哪些元素正在運行，哪些正在暴露。傳統虛擬機安全涉及信任IT人員不能區分半暴露服務的事實有助於雲原生安全在這種情況下發揮作用。隨著你的應用程序的演變和變化，或者即使它沒有變化並被放棄，雲原生安全性也會隨著數據中心的移動，擴展或縮小而不斷得到保護。雲上安全消除了人為錯誤導致安全漏洞的風險。
3、雲原生安全阻止勒索軟體攻擊
雲原生網路安全還可以幫助減輕勒索軟體攻擊。當發生違規時，你通常不知道自己已經被擊中，但在幾秒鍾內，病毒可能悄無聲息地開始加密網路上的文件。稍後，當加密完成時，會發送贖金票據。
雲計算解決方案採用的機器學習技術使組織能夠跟蹤正常和異常行為，這是檢測威脅的強大工具。你可以將主機或微服務級別的元素列入白名單，阻止操作或添加警報，從而使你能夠在不非常感謝您的耐心觀看，如有幫助請採納，祝生活愉快！謝謝！
Ⅹ Spring Cloud Security[微服務安全](一)初識Spring Cloud Security和OAuth2.0
在介紹Spring Cloud Security之前，我們先要介紹一下Spring Security。
Spring Security是一套提供了完整的聲明式安全訪問控制的解決方案。
Spring Security是基於Spring AOP和Servlet過濾器的，它只能服務基於Spring的應用程序。
除常規認證和授權外，它還提供 ACL，LDAP，JAAS，CAS 等高級安全特性以滿足復雜環境中的安全需求。
(注:在Spring Security中，Authority和Permission是兩個完全獨立的概念，兩者沒有必然的聯系。它們之前需要通過配置進行關聯。)
安全方案的實現通常分為 認證(Authentication) 和 授權(Authorization) 兩部分。
使用者可以使一個 用戶 ， 設備 ，和可以在應用程序中執行某種操作的 其它系統 。
認證一般通過用戶名和密碼的正確性校驗來完成通過或拒絕。
Spring Security支持的主流認證如下:
Spring Security進行認證的步驟:
++++++++++++++++++++++++++++++++++++++++++++++++++++++
++ 1. 用戶使用用戶名和密碼登陸
++
++ 2. 過濾器()獲取到用戶名
++ 和密碼，將它們封裝成Authentication
++
++ 3. AuthenticationManager認證Token(由Authentication實現類傳遞)
++
++ 4. AuthenticationManager認證成功，返回一個封裝了用戶許可權信息
++ 的Authentication對象，包含用戶的上下文信息(角色列表)
++
++ 5. 將Authentication對象賦值給當前的SecurityContext，建立這個用戶
++ 的安全上下文( SecurityContextHolder.getContext.setAuthentication() )
++
++ 6. 當用戶進行一些受到訪問控制機制保護的操作，訪問控制機制會依據
++ 當前安全的上下文信息來檢查這個操作所需的許可權
++++++++++++++++++++++++++++++++++++++++++++++++++++++
Spring Security提供了一系列基本組件，如spring-security-acl, spring-security-cas, spring-security-oauth2等。
具體這里就不詳述了，讀者可以查看官網的介紹。
Spring Cloud Security是用於構建微服務系統架構下的安全的應用程序和服務，它可以輕松實現基於微服務架構的統一的安全認證與授權。
Spring Cloud Security相對於Spring Security整合了Zuul，Feign，而且更加完美地整合了OAuth2.0。
OAuth 2.0是用於授權的行業標准協議。
原理:
OAuth2是用戶資源和第三方應用之間的一個中間層。
它把資源和第三方應用隔開，使得第三方應用無法直接訪問資源，第三方應用要訪問資源需要通過提供 憑證(Token) 來獲得OAuth 2.0授權。
OAuth2的典型例子:
==============================================
== 微信公眾號授權提醒
== 頁面彈出一個提示框需要獲取我們的個人信息
== 單擊確定
== 第三方應用會獲取我們在微信公眾平台中的個人信息
==============================================
OAuth的關鍵角色:
在用戶授權第三方獲取私有資源後，第三方通過獲取到的token等信息通過授權伺服器認證，然後去資源伺服器獲取資源。
密碼模式中，資源擁有者負責向客戶端提供用戶名和密碼；
客戶端根據用戶名和密碼箱認證伺服器申請令牌，正確後認證伺服器發放令牌。
客戶端請求參數:
缺點:
用戶對客戶端高度可信，必須把自己的密碼發給客戶端，存在被黑客竊取的隱患(不推薦)。
在授權碼模式中，客戶端是通過其後台伺服器與認證伺服器進行交互的。
授權碼模式的運行流程:
從以上圖中我們可以看到客戶端伺服器和認證伺服器需經過2次握手，客戶端伺服器才能拿到最終的訪問和更新令牌。
客戶端申請認證的參數:
伺服器返回的參數:
客戶端收到授權碼以後，附上重定向URI，向認證伺服器申請訪問令牌。
客戶端申請令牌的參數:
伺服器返回的參數:
如果訪問令牌已經過期，可以使用更新令牌申請一個新的訪問令牌。
通過更新令牌申請訪問令牌的參數:
這兩種模式不常用，因此在這里就不多敘述了。