使用 OAuth2 的 API 网关的客户端凭据

Question

我正在尝试了解使用 OAuth2.0 的微服务架构。我已经了解 OAuth2.0 的工作原理。我看到其中一种授权类型是客户端凭据，它需要客户端 ID 和客户端密钥，并在这些帮助下生成访问令牌。

这可能是一个愚蠢的问题，但我仍然无法理解如何将它集成到我的应用程序中。

我有 10 个客户试图呼叫我的 API 网关。

客户是否应该拥有不同的客户凭据？他们是否需要调用授权服务器来生成访问令牌？还是他们将客户端凭据发送到 API 网关以生成访问令牌并继续下一步？

客户端凭据应该存储在哪里？

请帮助我理解。

非常感谢。

Answer 1

他们是什么类型的客户？

• 网络/移动用户界面？
• 业务合作伙伴的后端 API 客户？

无论哪种情况：

• 客户端将从授权服务器获取令牌
• API/网关将只接收令牌 - 从不接收凭据

对于后端 API 客户端，您可以在授权服务器中为每个客户端配置客户端 ID 和密码，然后将其发送给每个客户作为入职的一部分。