[Secure Your Application on SAP Cloud Platform Cloud Foundry](https://developers.sap.com/tutorials/s4sdk-secure-cloudfoundry.html)

# 本文概要

1. 如何設定和配置 App Router 元件作為微服務環境的中央入口點來處理身份驗證和授權
2. 如何保護您的 Java 微服務，使其僅接受基於從應用路由器收到的有效 JSON Web 令牌 (JWT) 的請求
3. 為您的應用程式使用者分配角色和範圍，並讓您的後端處理授權資訊

# 基本概念

在深入瞭解架構的實際設定之前，讓我們快速回顧一下本教程打算採用的架構。

下圖是 SAP Business Technology Platform 上執行時的使用者認證流。首先我們已經有一個建立好並且正常工作的 Java 微服務。但是，您將使用所謂的應用路由器（App Router），而不是讓客戶直接訪問這個應用程式，它有兩個目的。

![](https://img-blog.csdnimg.cn/img_convert/195c29d19a33c0f1c8775219d2ab7310.png)

一方面，App Router 是進入微服務世界的通用入口點。主要思想是您可以將應用程式拆分為多個具有獨立可部署性、多語言執行時和永續性以及獨立團隊的微服務。因此，需要一箇中央入口元件來向最終客戶隱藏微服務環境的複雜性。

另一方面，App Router 主要負責管理認證流程。應用路由器接收來自使用者的未經身份驗證的傳入請求，並使用使用者帳戶和身份驗證擴充套件服務 (XSUAA) 啟動 OAuth2 流。 XSUAA 服務是 CloudFoundry 的 UAA 服務的 SAP 特定擴充套件，用於處理身份驗證和授權（它可能再次將此方面委託給其他提供者，例如外部身份提供者）。如果使用者在 XSUAA 進行身份驗證，它將使用包含經過身份驗證的使用者以及他或她已被授予的所有範圍的 JSON Web 令牌 (JWT) 進行響應。

JWT 由應用路由器傳遞給底層微服務，以便它們從這個任務中解放出來。 同時，這些微服務只能透過有效的 JWT 訪問，因此可以防止未經身份驗證的流量。

JWT 包含一個簽名，每個微服務都需要驗證該簽名才能建立信任。 因此，每個服務都需要一個金鑰（客戶端機密或公鑰）來驗證此簽名並拒絕任何帶有無效 JWT 的請求。 因此，每個服務都必須維護與 XSUAA 的服務繫結，該服務繫結為執行時驗證提供此資訊, 如下圖。 為了實現這一點，每個微服務都繫結到一個專用的 XSUAA 例項，該例項將此資訊寫入 VCAP_SERVICES 環境變數中，微服務可以使用該變數來驗證任何令牌的有效性。

![](https://img-blog.csdnimg.cn/img_convert/65e29781ec1b2d38c1bbb302821c7c29.png)

# Set up the App Router

您將讓 Cloud Foundry 在部署時自動檢索應用路由器。 為此，您將首先設定必要的結構。

在專案資料夾下面新建一個 approuter 資料夾，進入該資料夾。

新建一個 package.json 檔案：

```json
{
  "name": "approuter",
  "dependencies": {
    "@sap/approuter": "*"
  },
  "scripts": {
    "start": "node node_modules/@sap/approuter/approuter.js"
  }
}
```
在 approuter 資料夾內，新建一個 xs-app.json：

```json
{
  "welcomeFile": "index.html",
  "routes": [{
    "source": "/",
    "target": "/",
    "destination": "app-destination"
    }]
}
```

在專案根目錄下，新建 manifest.yml：

```yml
---
applications:
- name: approuter
  routes:
    - route: approuter-<subdomain>.cfapps.<region_id>.hana.ondemand.com
  path: approuter
  memory: 128M
  buildpacks:
    - nodejs_buildpack
  env:
    TENANT_HOST_PATTERN: 'approuter-(.*).cfapps.<region_id>.hana.ondemand.com'
    destinations: '[{"name":"app-destination", "url" :"<application_url>", "forwardAuthToken": true}]'
  services:
    - my-xsuaa
```

將上述檔案裡的佔位符，subdomain 替換成實際值。

透過前往子賬戶的概覽頁面，您將在 CF 主控室中找到您的子域：

![](https://img-blog.csdnimg.cn/img_convert/b49a9a14c7a7e3c23d1bbf137296ad7f.png)

# Understanding the AppRouter’s manifest.yml

在 Cloud Foundry 上，每個子帳戶都被分配了一個與一個租戶相關聯的子域。在多租戶場景中，應用路由器需要知道將哪個租戶(tenant)轉發到 XSUAA 服務。這是透過在主機(host)中包含子域來實現的，應用路由器將從中提取它。這就是 TENANT_HOST_PATTERN 發揮作用的地方。它是一個變數，用於宣告如何識別和處理 URL 中的租戶的模式。我們希望主機符合 approuter-<subdomain>。如果您需要不同的 URL 模式，則需要相應地更改路由和 TENANT_HOST_PATTERN。

請注意，TENANT_HOST_PATTERN 變數僅在真正的多租戶應用程式中才需要，即物理部署為同一部署中的多個客戶端提供服務的應用程式。假設您要構建多租戶應用程式，因為它的目標是雲原生開發。但是，如果您有單租戶應用程式，則不需要此變數。為了實現這一點，xs-security.json 安全描述符可以宣告 "tenant-mode": "dedicated"（參見下面的步驟 5）。

轉到目的地條目。它是一個變數，用於宣告從應用路由器到底層後端微服務的內部路由。由於您只有一個微服務，因此您可以在這裡只定義一個名為 app-destination 的目的地。此 app-destination 由先前建立的 xs-app.json 檔案引用。

最後但並非最不重要的服務部分宣告將您自己的 XSUAA 服務例項繫結到應用路由器。此繫結將確保相應的 VCAP_SERVICES 條目包含驗證來自 XSUAA 服務的任何傳入 OAuth 令牌/JWT 所需的客戶端 ID、客戶端金鑰和公鑰：

![](https://img-blog.csdnimg.cn/img_convert/965e2a22efd6c588928d6a2975c969dc.png)

# Bind the XSUAA Service

現在您需要建立一個到 XSUAA 服務的服務繫結。 作為先決條件，您需要一個 xs-security.json（安全描述符）檔案，其中包含有關您打算在應用程式中使用的授權範圍的宣告。 例如，只需宣告一個 DISPLAY 範圍，稍後將用於授權您的使用者。 此外，還宣告瞭一個名為 Viewer 的角色模板，它引用了我們的 DISPLAY 範圍。

將此檔案放入 <destlocation>/xs-security.json。可以在[此處](https://help.sap.com/viewer/4505d0bdaf4948449b7f7379d24d0f0d/2.0.01/en-US/df31a08a2c164520bb7e558103dd5adf.html)找到有關 xs-security.json 語法的更多詳細資訊。

xs-security.json:

```json
{
  "xsappname": "firstapp-<subdomain>",
  "tenant-mode": "shared",
  "scopes": [
    {
      "name": "$XSAPPNAME.Display",
      "description": "display"
    }
  ],
  "role-templates": [
    {
      "name": "Viewer",
      "description": "Required to view things in our solution",
      "scope-references"     : [
        "$XSAPPNAME.Display"
      ]
    }
  ]
}
```
使用命令列建立一個新的 xsuaa 服務例項：

> cf create-service xsuaa application my-xsuaa -c xs-security.json

使用 cf push 將 approuter 部署到 SAP BTP CloudFoundry 環境。

之後，您應該能夠使用部署的主機名從瀏覽器中找到應用路由器。 在我的情況下，這是 https://approuter-p1942765239trial.cfapps.eu10.hana.ondemand.com/hello ，您應該看到以下登入頁面，您可以在其中使用您的使用者電子郵件和密碼：

![](https://img-blog.csdnimg.cn/img_convert/532f9a7c3895acc324755ad5254befbc.png)

輸入使用者名稱和密碼之後，就看到了 hello world 這個 Java 微服務的輸出：
![](https://img-blog.csdnimg.cn/img_convert/5993cf9e389c819e829360ce6bdb3772.png)</subdomain></destlocation></subdomain></application_url></region_id></region_id></subdomain>

給 SAP BTP 平臺上的 Java 應用增添使用者登入和認證機制

相關文章