文章/答案/技术大牛

发布

社区首页 >专栏 >微服务系列：通过Kong网关给API加Key鉴权

微服务系列：通过Kong网关给API加Key鉴权

原创

AIOPS

发布于 2023-11-14 12:05:26

1.6K00

代码可运行

文章被收录于专栏：高可用高可用

运行总次数：0

代码可运行

1. 背景

上篇文章讲了通过Kong网关给API限流，这篇文章我们就讲讲API的另一个特性：鉴权。

Kong网关作为API网关，提供了多种认证机制以确保API安全性，它允许开发者和企业在API上游和下游之间搭建一个可靠的访问控制系统。以下是Kong网关支持的几种常见的认证类型，以及Key Auth插件的实战。

微服务系列传送门：

1、为什么需要API网关

2、 Kong初探

3、 Kong安装配置

4、通过Kong提供API服务

5、通过Kong网关给API限流

2. Kong网关鉴权

2.1 Kong网关支持的认证类型

➢ 密钥认证（Key Authentication）：用户需通过API密钥通过认证才能访问API资源。密钥可以作为请求头、查询参数或者请求体中的一部分发送。

➢ 基础认证（Basic Authentication）：用HTTP标准的基础认证方式，通过用户名和密码组合，经过Base64编码后发送给服务器。

➢ OAuth 2.0认证：提供了一个安全的访问控制框架，允许用户给第三方应用授权，在不暴露用户凭证的情况下访问API。

➢ LDAP高级认证（LDAP Authentication Advanced）：通过轻量级目录访问协议（LDAP）进行用户认证，通常用于企业环境中用户的身份验证。

➢ OpenID Connect：基于OAuth 2.0的身份层，用于认证并获取用户基本信息，在现代应用中非常流行。

2.2 Key Auth（密钥认证）是什么？

Key Auth是Kong网关中的一个插件，它将API密钥绑定到消费者对象并通过这个密钥来管理对API资源的访问。在客户端发起请求时，它必须在请求中携带一个有效的API密钥。该密钥可以在请求头（headers）、查询字符串（query string）或请求体（request body）中传输。Key Auth主要在用于客户端认证时保护API，防止未经授权的访问。

3. Key认证实战

3.1 创建一个新的消费者

使用用户名luka创建一个新的消费者：

curl -i -X POST http://localhost:8001/consumers/  --data username=luka

返回结果如下，表示消费者已创建。

HTTP/1.1 201 Created
Date: Tue, 14 Nov 2023 11:54:54 GMT
Content-Type: application/json; charset=utf-8
Connection: keep-alive
Access-Control-Allow-Origin: *
X-Kong-Admin-Request-ID: GMqdBYiKT8NqXDHhnp4SrRvcQ6LSQZAN
Content-Length: 173
X-Kong-Admin-Latency: 34
Server: kong/3.4.1.1-enterprise-edition

{"custom_id":null,"type":0,"id":"c27cc554-c1a7-4c6e-856f-1f6d44c85480","username":"luka","created_at":1699962894,"updated_at":1699962894,"username_lower":"luka","tags":null}

3.2 为消费者分配一个密钥

配置完成后，调用Admin API为新消费者分配一个密钥。将密钥值设置为top-secret-key(仅作为示例)：

curl -i -X POST http://localhost:8001/consumers/luka/key-auth  --data key=top-secret-key

返回结果如下，表示密钥已经被创建。

HTTP/1.1 201 Created
Date: Tue, 14 Nov 2023 11:56:49 GMT
Content-Type: application/json; charset=utf-8
Connection: keep-alive
Access-Control-Allow-Origin: *
X-Kong-Admin-Request-ID: dqzhpJMcWMsortRn7r8KFiKnezu1Mj4a
Content-Length: 172
X-Kong-Admin-Latency: 17
Server: kong/3.4.1.1-enterprise-edition

{"created_at":1699963008,"key":"top-secret-key","id":"be148421-16e1-48b5-aa95-eed15695da65","ttl":null,"tags":null,"consumer":{"id":"c27cc554-c1a7-4c6e-856f-1f6d44c85480"}}

3.3 全局密钥认证

通过下面命令启用密钥认证，密钥认证插件默认安装在Kong网关上，可以通过向Admin API上的plugins对象发送POST请求来启用：

curl -X POST http://localhost:8001/plugins/ --data"name=key-auth" --data"config.key_names=apikey"

返回结果如下，表示插件已安装。

{
    "enabled": true,
    "service": null,
    "consumer": null,
    "name": "key-auth",
    "id": "3e70c269-cb62-43e8-bce6-4258d7743eb5",
    ...
}

3.4 验证

使用我们在通过Kong提供API服务一文中提供的URL，完成下面的测试

3.4.1 发送未认证的请求

尝试在未提供密钥的情况下访问服务：

curl -s http://localhost:8000/v1/api/random_value/ | jq
{
  "message": "No API key found in request"
}

由于你已经全局启用了密钥认证，你将收到未授权的响应.

3.4.2 发送错误的密钥

尝试使用错误的密钥访问服务：

curl -i http://localhost:8000/v1/api/random_value/  -H 'apikey:bad-key'
HTTP/1.1 401 Unauthorized
Date: Tue, 14 Nov 2023 12:01:12 GMT
Content-Type: application/json; charset=utf-8
Connection: keep-alive
Content-Length: 52
X-Kong-Response-Latency: 1
Server: kong/3.4.1.1-enterprise-edition

{
  "message":"Invalid authentication credentials"
}

提示错误的凭据

3.4.3 使用有效的密钥发送含apikey头部的请求：

curl -i http://localhost:8000/abc/anything -H'apikey:top-secret-key'

curl -i http://localhost:8000/v1/api/random_value/  -H'apikey:top-secret-key'
HTTP/1.1 200 OK
Content-Type: application/json
Content-Length: 57
Connection: keep-alive
Server: gunicorn
Date: Tue, 14 Nov 2023 12:01:59 GMT
X-Frame-Options: DENY
X-Content-Type-Options: nosniff
Referrer-Policy: same-origin
Cross-Origin-Opener-Policy: same-origin
X-Kong-Upstream-Latency: 105
X-Kong-Proxy-Latency: 6
Via: kong/3.4.1.1-enterprise-edition

{"address": "127.0.0.1:8081", "hostname": "7f1edf0ec3f1"}