线上系统的统一身份认证方案

2021-09-25  本文已影响0人  天草二十六_简村人

一、背景

线上系统主要是对中间件、日志、任务等的监控运维，由于是提供外网访问的出口，所以不能没有身份认证。经梳理，现公司需管理的线上系统包括以下几种：

以上系统的账户密码默认都是使用各自的一套，并无法实现互通。这就是给运维这些账户带来极大的工作量，特别是公司人员规模超过100人以上，随着人员的离职和入职，经常有需要开通和关停账号。

IT 遇到的问题：

运维遇到的问题：

运营遇到的问题：

为了提高线上系统的账户运维效率及安全，我们需要就具体的系统所支持的统一身份认证方式提出对应的对接办法。

二、目标

1、实现线上系统的统一身份认证，各个系统之间共用一个账户密码。

2、人员入职时，只需要开通一个账号；同样，离职时，只需要对这一个账号进行关停。

3、实现日志审计，每个人一个账户，账号不共用。

三、边界

四、分工

运维需要做什么？

开发需要做什么？

IT 需要做什么？

五、总体设计

image.png

1、系统已支持对接LDAP的界面，且提供了界面

2、已支持对接LDAP，没有UI，需要安装插件

3、通过API网关鉴权

适用于无鉴权模块；有鉴权模块但是无法开发插件或编码的系统

4、编写代码

适用于自身已有鉴权模块且默认不支持LDAP、可通过插件或二次编码实现的系统

四、主要实现

1、系统已支持对接LDAP，且提供了

metersphere：https://www.jianshu.com/p/b4ce64984eff

zabbix： https://blog.csdn.net/qq_37960324/article/details/94004999

2、已支持对接LDAP，没有UI，需要安装插件

这里又可以区分为两类，一类是监控系统，sentry和grafana，安装插件的过程中，不会对应用产生影响；

二是中间件系统，rabbitmq和konga，优先级比较低，且rabbitmq和应用程序有强相关，暂时不考虑实现，放在最低优先级。konga的配置权限，也主要在一两个人的手上，待最后来实现。

所以，初期我们只实现sentry和grafana集成ldap。

请参考：https://www.jianshu.com/p/103d5cfb6c07（sentry对接ldap）

3、通过API网关 LDAP Auth实现

中间件的管理，官方有提供一套管理界面，但是它的免费版往往没提供身份鉴权模块，这给我们的运维管理带来极大的不便。这些管理界面是面向开发和测试人员使用，站在安全的角度，是有身份鉴权的需求的。
既然默认不支持统一身份认证如LDAP，二次开发的成本是巨大的，不是我们的首考，所以我们的思路转向通过API网关鉴权的方式。

访问一个系统，前置一个api网关，除了可以增加身份认证，还可以配置其他的网关插件，比如日志、监控、流控等等。也就是说，我们甚至可以知道每个用户的访问及操作情况。

nginx作为老牌的API网关，nginx+ldap的实现方案，请参考：https://www.jianshu.com/p/70543ab5201f

4、编写代码

上一篇 下一篇

猜你喜欢

热点阅读