使用Ngnix，Apache，Envoy或其他反向代理将Mutal TLS转换为OAuth ClientCredentials

Question

我有许多使用OAuth承载令牌进行身份验证的服务。 我可以使用OAuth客户端凭据授予或资源所有者凭据授予来获取令牌。

但是，我有许多现有系统只能使用Mutual TLS经过身份验证的连接进行身份验证。

我不想更新所有调用应用程序以获取OAuth承载令牌，而是想构建一个网关代理：

1. 接收TLS经过身份验证的连接
2. 使用证书的主题来标识系统actor
3. 使用客户端凭据或资源所有者授权代表该系统获取令牌
4. 调用底层服务并将结果返回给客户端

基本上我想隐藏OAuth正在使用旧客户端的事实，并允许它们专门使用Mutal TLS身份验证。

Ngnix，Apache，Envoy或类似的HTTP反向代理是否存在现有的反向代理或方法或模块，无需构建整个代理即可实现此目的？

我发现许多模块处理将Apache和Ngnix设置为OAuth中继方或资源服务器的情况，使用各种模块，如

• https://github.com/zmartzone/lua-resty-openidc
• https://findingscience.com/mod_auth_openid/

但无法找到充当OAuth或Open ID Connect客户端的任何示例作为Mutual TLS身份验证客户端的代理。

特别是我想避免编写代理部分。 即使我必须编写实际的OAuth交互脚本。 我发现的最接近的是这篇关于在Envoy lua脚本中实现OAuth RP的博文 。

我很难想象这是一个独特的需求，所以我想知道是否有任何我没有找到的模式的标准实现。

Answer 1

事实证明，使用Envoy Proxy很容易实现这一点。 特别是通过使用外部授权HTTP过滤器 。

通过在侦听器上设置Downstream TLS Context并将require_client_certificate设置为true可以将Envoy代理配置为执行SSL终止并需要客户端证书。

可以配置HTTP连接管理器网络过滤器以将请求上的x-forwarded-client-cert标头设置为上游服务。 特别是向SANITIZE_SET设置forward-client-cert-details将导致envoy设置标头。 可以通过设置set-current-client-cert-details来配置标头中包含的内容 。

但实际上要让Envoy进行令牌交换，我们需要配置一个外部授权过滤器。 这允许特使使用请求的详细信息（包括证书）来呼叫服务，并且该服务可以决定是否允许该请求。 至关重要的是，当它被允许时，它能够向上游服务的请求添加标头，这允许它添加oauth所需的承载令牌。

外部授权过滤器有网络过滤器和HTTP过滤器版本。 如果要将标头添加到上游请求，则必须使用HTTP。

由此产生的envoy配置如下：

static_resources:
  listeners:
  - name: listener_0
    address:
      socket_address:
        protocol: TCP
        address: 0.0.0.0
        port_value: 10000
    filter_chains:
    - filters:
      - name: envoy.http_connection_manager
        typed_config:
          "@type": type.googleapis.com/envoy.config.filter.network.http_connection_manager.v2.HttpConnectionManager
          stat_prefix: ingress_http
          forward_client_cert_details: SANITIZE_SET # Include details of the client certificate in the x-forwarded-client-cert header when calling the upstream service
          set_current_client_cert_details:
            subject: True # Include the subject of the certificate in the x-forwarded-client-cert header rather than just the certificate hash.
          route_config:
            name: local_route
            virtual_hosts:
            - name: local_service
              domains: ["*"]
              routes:
              - match:
                  prefix: "/"
                route:
                  cluster: service_backend
          http_filters:
          - name: envoy.ext_authz # Call an authorization service to do the OAuth token exchange
            config:
              grpc_service:
                envoy_grpc:
                  cluster_name: auth_service
                timeout: 5s # The timeout before envoy will give up waiting for an auth service response and deny access
          - name: envoy.router
      tls_context:
        require_client_certificate: True # Require downstream callers to provide a client certificate
        common_tls_context:
          validation_context:
            trusted_ca:
              filename: /etc/envoy/certs/ca-chain.cert.pem # CA certificate that client certificate must be signed with to be accepted
          tls_certificates:
          - certificate_chain:
              filename: /etc/envoy/certs/server-cert.pem
            private_key:
              filename: /etc/envoy/certs/server-key.pem
            password:
              inline_string: password
  clusters:
  - name: auth_service
    connect_timeout: 1s # The timeout before envoy will give up trying to make a TCP  connectio to an auth service
    type: LOGICAL_DNS
    dns_lookup_family: V4_ONLY
    lb_policy: ROUND_ROBIN
    http2_protocol_options: {} # GRPC services must be HTTP/2 so force HTTP/2
    load_assignment:
      cluster_name: auth_service
      endpoints:
      - lb_endpoints:
        - endpoint:
            address:
              socket_address:
                address: localhost
                port_value: 8080

然后，技巧是实现GRPC服务，该服务实现外部授权协议进行令牌交换，并拒绝请求或提供Authorization头以在上游请求中包括承载令牌。

Answer 2

如果您仍然需要这个，我构建了一个使用本地auth DB工作的授权服务器。 将它转换为调用OIDC并接收要注入的令牌非常容易。 https://github.com./fams/tlsjwt-gw