如何保護 Pact Broker、Consumer 和 Provider 之間的通信

Question

我們計划在我們的項目中實施 CDC，Pact 被視為主要候選者。 目前我正在研究一個 POC，以通過 CI/CD 與 GitLab 集成來設置端到端流程。 我有幾個與身份驗證/授權/安全相關的問題。

1. 消費者 - 契約經紀人：這里的消費者是外部合作伙伴。 我將客戶端證書視為一種選擇。 我無法在 Web 上找到許多可用選項的文檔或信息。 Pact 代理將托管在 AWS 中。 我們可以把它放在網關后面嗎？

2. Pact Broker 和 Provider：這兩個組件都是我們基礎架構的一部分。 在這種情況下，我知道我們將生成一個 GitLab 觸發器令牌，該令牌將作為未來請求的一部分傳遞給 Provider 管道。 我們每次都將使用相同的令牌。

您能否建議兩種情況下可用的選項，以使通信更安全。

提前致謝。

Answer 1

我們計划在我們的項目中實施 CDC，Pact 被視為主要候選者。

好的選擇！ :)

我有幾個與身份驗證/授權/安全相關的問題

除了基本身份驗證和只讀/讀寫訪問權限（由於顯而易見的原因，這不太適合外部使用）之外，OSS 代理沒有任何安全控制。 對 UI 中的編輯憑據提供基本支持，但您仍然可以通過 API 調用獲取它們（即使對於只讀帳戶）。

消費者 - 契約經紀人：這里的消費者是外部合作伙伴。 我將客戶端證書視為一種選擇。 我無法在 Web 上找到許多可用選項的文檔或信息。 Pact 代理將托管在 AWS 中。 我們可以把它放在網關后面嗎？

您在哪里看到支持客戶端證書？ 我很抱歉地說這是不正確的。

你絕對可以把它放在網關/反向代理類型的后面： https : //docs.pact.io/pact_broker/configuration/#running-the-broker-behind-a-reverse-proxy

為此，您需要添加自己的身份驗證層，因此為此使用 API 網關可能是一個很好的起點。

Pact Broker 和 Provider：這兩個組件都是我們基礎架構的一部分。 在這種情況下，我知道我們將生成一個 GitLab 觸發器令牌，該令牌將作為未來請求的一部分傳遞給 Provider 管道。 我們每次都將使用相同的令牌。

提供者端身份驗證與消費者相同。

或者，我們創建了 Pactflow，它是專為企業使用而設計的 OSS Broker 的商業版本，它具有包裹在 OSS Broker 上的完整安全模型，包括 API 令牌、機密、團隊管理和其他有用的功能（請參閱https:// pactflow.io/features/了解更多）。 我們也幾乎准備好發布CI 用戶和細粒度的權限管理。