Alibaba Cloud Service Mesh:Desenvolver um serviço de autorização personalizado baseado em HTTP

Como funciona a autorização personalizada

O ASM oferece várias camadas de segurança de requisições que funcionam em conjunto:

• A autenticação JSON Web Token (JWT) no gateway verifica a identidade da requisição.

• O TLS mútuo (mTLS) entre serviços autentica a identidade do serviço (ativado por padrão em uma instância do ASM).

• As políticas de autorização restringem o comportamento da requisição após a confirmação da identidade.

Os serviços de autorização personalizada estendem essas camadas integradas. O diagrama a seguir ilustra o fluxo de ponta a ponta:

1. Um cliente envia uma requisição para um serviço por meio do proxy do mesh (gateway ou sidecar proxy).

2. O proxy do mesh extrai os metadados da requisição (método, caminho, cabeçalhos e corpo) e envia uma requisição de autorização HTTP para o seu serviço personalizado.

3. Seu serviço avalia a requisição e retorna um código de status HTTP:

Contrato de requisição e resposta HTTP

O proxy do mesh envia uma requisição HTTP padrão para o seu serviço de autorização contendo os metadados da requisição original. Seu serviço inspeciona esses campos e retorna um código de status.

Desenvolver o serviço de autorização

O ASM é compatível com o Istio open-source. O projeto Istio fornece uma implementação de referência que lida com autorização HTTP e gRPC. A lógica HTTP reside na função ServeHTTP:

// ServeHTTP implements the HTTP check request.
func (s *ExtAuthzServer) ServeHTTP(response http.ResponseWriter, request *http.Request) {
	body, err := io.ReadAll(request.Body)
	if err != nil {
		log.Printf("[HTTP] read body failed: %v", err)
	}
	l := fmt.Sprintf("%s %s%s, headers: %v, body: [%s]\n", request.Method, request.Host, request.URL, request.Header, returnIfNotTooLong(string(body)))
	if allowedValue == request.Header.Get(checkHeader) {
		log.Printf("[HTTP][allowed]: %s", l)
		response.Header().Set(resultHeader, resultAllowed)
		response.Header().Set(overrideHeader, request.Header.Get(overrideHeader))
		response.Header().Set(receivedHeader, l)
		response.WriteHeader(http.StatusOK)
	} else {
		log.Printf("[HTTP][denied]: %s", l)
		response.Header().Set(resultHeader, resultDenied)
		response.Header().Set(overrideHeader, request.Header.Get(overrideHeader))
		response.Header().Set(receivedHeader, l)
		response.WriteHeader(http.StatusForbidden)
		_, _ = response.Write([]byte(denyBody))
	}
}

Essa função lê a requisição recebida e verifica se um cabeçalho específico (checkHeader) contém o valor esperado (allowedValue):

• Correspondência: Retorna 200 OK e o proxy permite a passagem da requisição original.

• Sem correspondência: Retorna 403 Forbidden com uma mensagem de negação e o proxy rejeita a requisição original.

Ambos os caminhos registram os detalhes da requisição em log e definem cabeçalhos de resposta de diagnóstico (resultHeader, overrideHeader, receivedHeader) para rastreamento.

Registrar e configure o serviço no ASM

Após implantar o serviço de autorização no seu cluster do Container Service for Kubernetes (ACK):

1. Registre o serviço no console do ASM, na página Define Custom Authorization Service.

2. Crie uma política de autorização que referencie o serviço registrado para especifique quais proxies do mesh devem utilizá-lo.

Para obter instruções detalhadas, consulte Implementar autorização personalizada usando o protocolo HTTP.

Considerações para produção

Ao executar um serviço de autorização personalizado em produção, considere os seguintes fatores:

• Modo de falha: Defina se as requisições devem ser permitidas (fail open) ou negadas (fail closed) quando o serviço de autorização estiver indisponível. Configure esse comportamento nas configurações do mesh (ExtensionProvider).

• Impacto na latência: Cada requisição adiciona um salto de rede até o serviço de autorização. Implante o serviço próximo às cargas de trabalho e defina timeouts adequados.

• Logs e monitoramento: Registre todas as decisões de autorização com contexto suficiente para depurar problemas de acesso. Monitore taxas de erro e tempos de resposta para detectar interrupções rapidamente.

• Segurança: Valide e sanitize todas as entradas provenientes dos cabeçalhos e do corpo da requisição. Não confie em dados fornecidos pelo cliente sem verificação prévia.

Próximos passos

• Implementar autorização personalizada usando o protocolo HTTP — Registre e conecte o serviço de autorização no ASM

• Referência de autorização externa do Istio — Código-fonte completo do exemplo de autorização HTTP e gRPC