Microservices /w Spring Security OAuth

Copyright©2016 NTT corp. All Rights Reserved.
Microservices /w Spring Security
OAuth
NTT ソフトウェアイノベーションセンタ
角田誠
2016年3月9日

2Copyright©2016 NTT corp. All Rights Reserved.
• 認可フレームワークであるOAuthを，マイクロサービ
ス・アーキテクチャで構築されたアプリケーションを構
成する各サービスへのアクセス時に利用することを想定
して，OAuthの実装であるSpring Security OAuth
を用いて行ったいくつかの実験についての報告。
本日の内容

• 「In short, the microservice architectural
style is an approach to developing a single
application as a suite of small services, each
running in its own process and
communicating with lightweight mechanisms,
often an HTTP resource API.」
• James Lewis, Martin Fowler,
• “Microservices a definition of this new architectual
term”,
• http://martinfowler.com/articles/microservices.html
おさらい(Microservices)

• 単一のアプリケーションを小さなサービス群の組み合わ
せとして構築する手法。
• 個々のサービスは自身のプロセス上で動作する。

• スケールさせるときは，アプリケーション全体ではな
く，個々のサービスごとに多重化できるので効率が良
い。

• サードパーティ製のアプリケーション(≒クライアント)
から，Webサービスを提供するサーバ(≒リソース，
サービス)への，限定的なアクセスを可能にする認可フ
レームワーク。
• RFC6749(OAuth2)
おさらい(OAuth)

• OAuth以前 - クライアントサーバ型の認証モデル
• エンドユーザは，Webサービスにアクセスするための認証情報
をサードパーティ製のアプリケーションに伝える。
おさらい(OAuth)
サードパーティ製の
アプリケーション
(クライアント)
Webサービス
エンドユーザの権限の
範囲内での
無制限のアクセス

• OAuthの認証・認可モデル
• エンドユーザは，Webサービスにアクセスするための認証情報
をサードパーティ製のアプリケーションに伝える必要がない。
おさらい(OAuth)
Webサービス限定されたアクセス
アクセスの限定
サードパーティ製の
アプリケーション
(クライアント)

• OAuthの四つのロール
おさらい(OAuth)
クライアント
認可サーバ
リソースサーバ
・リソースオーナの許可を得てリソースサー
バにアクセスする，ブラウザ上またはWeb
サーバ上で動作するアプリケーション。
リソースオーナ
・保護されたリソースを
ホストするサーバ。
・リソースオーナの認証と，リソース
オーナから認可を取得し，クライアント
にアクセストークンを発行するサーバ。
・クライアントにリソースサーバ
へのアクセスを許可する。
・エンドユーザ。
アクセストークン

• 認可グラント
• リソースオーナによる認可を示す。
• 認可サーバは認可グラントに基づき，クライアントにアクセス
トークンを発行する。
• 四つのタイプがあり，それぞれでアクセストークン発行手順が
異なる。
おさらい(OAuth)
クライアントがリソースサーバに
アクセスするときに必要なトークン

• 四つのグラントタイプ
• 認可コード
• インプリシット
• リソースオーナパスワードクレデンシャル
• クライアントクレデンシャル
おさらい(OAuth)
OAuthといって普通にイメージするのはこのあたり。
エンドユーザはクライアントに対し認可の範囲を限定
できる。

• 認可コードグラント
• クライアントからリソースサーバへのアクセスを，エンドユー
ザが認可することで，アクセストークンを発行する。
おさらい(OAuth)
クライアント
認可サーバ
ユーザ
エージェント
(Webブラウザ)
(1)リソースサーバへのアクセス事象発生
(2)認可サーバへの
リダイレクト指示
(3)リダイレクト
(4)認可要求
(5)認可
要求
(7)認可
(8)認可コード + クライアントへのリダイレクト指示
(10)認可コードによりア
クセストークン要求
(9)リダイレクト
/w 認可コード (11)アクセストークン
(6)認可(エンドユーザはクライアントに対して認可の範囲を限定できる。)
リソースサーバ(12)リソースサーバへのアクセス

• クライアントクレデンシャルグラント
• エンドユーザとは関係なく，クライアントを認証し，アクセス
トークンを発行する。
おさらい(OAuth)
クライアント認可サーバ
(1)リソースサーバへの
アクセス事象発生
(2)クライアントの認証情報
(3)アクセストークン
リソースサーバ(4)リソースサーバへのアクセス

• Spring Bootによるサービスの実現
• Eurekaによるサービスの登録・発見
SpringとMicroservices

• Spring Security OAuth
• Spring Securityの関連プロジェクト
• 認可サーバ，リソースサーバ，クライアントの作成をサポート
• 今回は，Spring Security OAuthの細かな設定などの説明は割
愛。
SpringとOAuth

• Spring BootやSpring Security OAuthを使った
Microservicesなアプリケーションで，サービス(リ
ソースサーバ)から他のサービスの呼び出しでも，エン
ドユーザが認可した範囲に限定したアクセスを行う。
実現したいこと(1)
クライアント
エンドユーザが認可した範囲での限定したアクセス
Microservicesでいうところのサービスを
OAuthのリソースサーバとして実現

認可サーバ
認可サーバ
• Spring Security OAuthで作ったクライアントやリ
ソースサーバが，Eurekaサーバに登録された，多重化
されたリソースサーバや認可サーバのうちのどれかを選
んでアクセスする。
クライアント

• クライアントからリソースサーバへのアクセス
• リソースサーバはクライアントに対して，REST APIを提供す
る。
• クライアントは，REST APIに普通にアクセスするときに使う
RestTemplateの代わりにOAuth2RestTemplateを使って，リ
ソースサーバにアクセスする。
Spring Security OAuth
@RestController
public class ClientController {
@Value("${config.oauth2.resourceURI}")
private String resourceUri;
@Autowired
private OAuth2RestTemplate restTemplate;
@RequestMapping("/")
public String home() {
return restTemplate.getForObject(resourceUri, String.class);
}
}

• 認可コードグラントによるリソースサーバへのアクセス
の流れ
• クライアントからリソースサーバへのアクセスが必要になる。
クライアント

の流れ
• クライアントは，OAuth2RestTemplateを使いリソースサー
バにアクセスしようとする。
クライアント
リソースサーバOAuth2
RestTemplate
Controller

の流れ
• クライアントは，OAuth2RestTemplateを使いリソースサー
バにアクセスしようとする。
• UserRedirectRequiredExceptionが投げられる。
クライアント
RestTemplate
Controller UserRedirect
RequiredException

の流れ
• OAuth2ClientContextFilterがキャッチしてブラウザのロケー
ションを認可サーバにリダイレクトさせる。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
UserRedirect
RequiredException
認可サーバ

の流れ
• ユーザの認証・認可が行われる。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
認可サーバ認証・認可

の流れ
• ユーザの認証・認可が行われる。
• 元のクライアントのURLにリダイレクトされ，再度コントロー
ラが呼ばれる。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
認可サーバ
認可コード

の流れ
• 再度，OAuth2RestTemplateを使いリソースサーバにアクセ
スしようとする。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
認可サーバ
認可コード

の流れ
• 認可サーバからアクセストークンを取得する。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
認可サーバ
認可コード
認可コード

の流れ
• 認可サーバからアクセストークンを取得する。
• リソースサーバにアクセスする。
クライアント
RestTemplate
Controller
OAuth2
ClientContextFilter
認可サーバ
認可コード
認可コード

• Spring BootやSpring Security OAuthを使った
Microservicesなアプリケーションで，サービス(リ
ソースサーバ)から他のサービスの呼び出しでも，エン
ドユーザが認可した範囲に限定したアクセスを行う。
クライアント
エンドユーザが認可した範囲での限定したアクセス
Microservicesでいうところのサービスを
OAuthのリソースサーバとして実現

• リソースサーバ(A)(サービス)から他のリソースサーバ
(B)へのアクセスにOAuthを使うには…。
リソースサーバ(A)から他のリソースサーバ(B)へのアクセス
クライアント
(B)
(A)
認可サーバ

• 認可コードグラント?
• リソースサーバ(A)にアクセスしているのはクライアントや他のリ
ソースサーバであって，エンドユーザではない。
• エンドユーザに認可を求めることができない。
クライアント
(B)
(A)
認証・認可認可サーバ

• クライアントクレデンシャルグラントを使うのが普通(多分)。
• エンドユーザは介入しない。
• リソースサーバ(A)をクライアントとして認可サーバが認証でき
る。
• リソースサーバ(A)に与えられたスコープで，リソースサーバ(B)
にアクセスできる。
• つまり，エンドユーザの認可は反映されない。
認可サーバ
リソースサーバ(A)の認証情報
(B)
リソースサーバ(B)へのアクセス
(A)

• エンドユーザの認可を反映しつつ，リソースサーバ(A)からリ
ソースサーバ(B)にアクセスしたい。

• クライアントは，リソースサーバ(A)にアクセスするとき，認
可コードグラントで，ユーザの認可が反映されたアクセストー
クンを受け取ることができる。
• リソースサーバ(A)はこのアクセストークンをクライアントか
ら受け取る。
クライアント
(B)
(A)
認可サーバ

• リソースサーバ(A)がクライアントから受け取ったアクセス
トークンをそのままリソースサーバ(B)へのアクセスに使えば
…。
• JWT(JSON Web Token)なアクセストークンを使えば，改ざん防
止とリソースサーバ内での検証が可能。
クライアント
(B)
(A)
認可サーバ

…。
リソースサーバから他のリソースサーバへのアクセス
public String resource(OAuth2Authentication principal) {
// 認証情報に含まれるアクセストークンを取得し，
String tokenValue =
((OAuth2AuthenticationDetails)principal.getDetails()).getTokenValue();
// リソーサーバ(B)へのアクセスに使う
// OAuth2RestTemplateのOAuth2ClientContextに埋め込む
OAuth2ClientContext context =
((OAuth2RestTemplate)restTemplate).getOAuth2ClientContext();
context.setAccessToken(new DefaultOAuth2AccessToken(tokenValue));
return "resource server! -> " +
restTemplate.getForObject(resourceUri, String.class);
}

…。
• 期待通りにエンドユーザが認可した権限の範囲で，リソース
サーバ(A)からリソースサーバ(B)へのアクセスが可能になる。
リソースサーバから他のリソースサーバへのアクセス

認可サーバ
認可サーバ
• Spring Security OAuthで作ったクライアントやリ
ソースサーバが，Eurekaサーバに登録された，多重化
されたリソースサーバや認可サーバのうちのどれかを選
んでアクセスする。
クライアント

• クライアントから多重化されたリソースサーバにアクセ
スする。
EurekaとSpring Security OAuth
認可サーバ
認可サーバ
クライアント

スする。
• クライアントから多重化された認可サーバにアクセスす
る。
認可サーバ
認可サーバ
クライアント

スする。
る。
• リソースサーバから多重化された認可サーバにアクセス
する。
認可サーバ
認可サーバ
クライアント

スする。
認可サーバ
認可サーバ
クライアント

スする。
• Eurekaに登録されたサービスに普通にアクセスするときとほぼ
一緒。
@Autowired
private OAuth2RestOperations restTemplate;
@Autowired
private LoadBalancerClient loadBalancer;
public String home() {
// resourceNameに該当するサービスを一つ選択しURIを構築する。
String uri = loadBalancer.choose(resourceName).getUri() + resourcePath;
return restTemplate.getForObject(uri, String.class);
}

る。
認可サーバ
認可サーバ
クライアント

る。
あらかじめ設定した内容に
基づいてSpring Security
OAuthが勝手に認可サーバ
にアクセスする。

る。
で提供されているクラス
を拡張する必要がある。
あらかじめ設定した内容に
基づいてSpring Security
OAuthが勝手に認可サーバ
にアクセスする。

する。
認可サーバ
認可サーバ
クライアント

する。
• JWT使用時，リソースサーバから認可サーバにアクセスするの
は，起動時の一度のみ。
• アクセストークン検証用の鍵を認可サーバに取りに行く。
• org.springframework.boot.autoconfigure.security.oauth2.r
esource.ResourceServerTokenServicesConfigurationの中
• リソースサーバ起動時に，Eurekaで見つけた認可サーバに鍵を
取りに行くようにすればOK。
• そもそも，設定ファイル(e.g. application.yml)に鍵を書いて
おけば，認可サーバにアクセスする必要はない…。

• OAuthで，リソースサーバ(A)が他のリソースサーバ
(B)にアクセスするときに必要となるアクセストークン
は，リソースサーバ(A)がクライアントから受け取った
アクセストークンを流用できる。
• OAuthで，クライアントから多重化されたリソース
サーバへのアクセスは，多重化されたサービスに普通に
アクセスするときとほぼ一緒。
• クライアントやリソースサーバから多重化された認可
サーバへのアクセスは，少し頑張れば可能。
まとめ

Microservices /w Spring Security OAuth

More Related Content

What's hot

Viewers also liked

Similar to Microservices /w Spring Security OAuth

Recently uploaded

Microservices /w Spring Security OAuth