Kong Key 认证

认证是验证请求者是否有权限访问资源的过程。正如其名称所示，API网关认证用于验证数据在上游服务之间的流动。

Kong网关具有支持最常用的API网关认证方法的插件库。

常见的认证方法包括：

• 密钥认证
• 基本认证
• OAuth 2.0认证
• LDAP认证高级
• OpenID Connect

认证的好处 

通过Kong网关控制认证，除非客户端成功认证，否则请求不会到达上游服务。这意味着上游服务处理经过预授权的请求，使它们摆脱了认证成本，节省了计算时间和开发工作量。

Kong网关可以查看所有的认证尝试，这提供了构建监控和警报功能的能力，支持服务的可用性和合规性。

开启认证

下面的教程介绍了如何在Kong网关中的各个方面启用密钥认证插件。

API密钥认证是强制API认证的常用方法。在密钥认证中，Kong网关用于生成并将API密钥与消费者关联起来。这个密钥是客户端在进行后续请求时呈现的认证凭据。根据呈现的密钥的有效性，Kong网关批准或拒绝请求。此过程可以全局应用或适用于单个服务和路由。

先决条件

这一章节是“开始使用Kong”系列的一部分。为了获得最佳体验，建议您从头开始按照系列进行操作。

从介绍开始，获取Kong，其中包括工具先决条件和运行本地Kong网关的说明。

指南的第二步“服务和路由”包括安装一个用于本系列的模拟服务的说明。

如果您尚未完成这些步骤，请在继续之前完成它们。

设置消费者和密钥 

在Kong网关中，密钥认证通过使用消费者对象来实现。密钥分配给消费者，客户端应用程序在其发出的请求中呈现密钥。

1. 创建一个消费者 

为了完成本教程，创建一个新的消费者，用户名为luka：

curl -i -X POST http://localhost:8001/consumers/ \
 --data username=luka

 您将收到一个201响应，表示已创建消费者。

2. 为消费者分配一个密钥

一旦配置完成，调用Admin API为新消费者分配一个密钥。对于本教程，将密钥值设置为top-secret-key：

curl -i -X POST http://localhost:8001/consumers/luka/key-auth \
 --data key=top-secret-key

您将收到一个201响应，表示已创建密钥。

在这个例子中，您明确将密钥内容设置为top-secret-key。如果您没有提供密钥字段，Kong网关将为您生成密钥值。

警告：为了完成本教程，我们已分配了一个示例密钥值。建议让API网关为您自动生成一个复杂的密钥。只在测试或迁移现有系统时指定密钥。

 全局密钥认证

在全局安装插件意味着每个代理请求到Kong网关都受到密钥认证的保护。

 1. 开启密钥认证

Key认证插件默认安装在Kong网关上，可以通过向Admin API的plugins对象发送POST请求来启用：

curl -X POST http://localhost:8001/plugins/ \
   --data "name=key-auth"  \
   --data "config.key_names=apikey"

您将收到一个201响应，表示插件已安装。

上述请求中的key_names配置字段定义了插件用于在认证请求时读取密钥的字段名称。插件将在请求的头部、查询字符串参数和请求体中查找该字段。

2. 发送一个未经身份验证的请求 

尝试在未提供密钥的情况下访问该服务：

curl -i http://localhost:8000/mock/anything

 由于您在全局启用了密钥认证，您将收到一个未授权的响应。

HTTP/1.1 401 Unauthorized
...
{
   "message": "No API key found in request"
}

 3. 发送错误的密钥

尝试使用错误的密钥访问该服务：

curl -i http://localhost:8000/mock/anything \
 -H 'apikey:bad-key'

 您将收到一个未授权的响应：

HTTP/1.1 401 Unauthorized
...
{
 "message":"Invalid authentication credentials"
}

 4. 发送一个有效的请求

在apikey头部中发送带有有效密钥的请求：

curl -i http://localhost:8000/mock/anything \
 -H 'apikey:top-secret-key'

 您将收到一个200 OK的响应。

基于服务的密钥认证

Key认证插件可以针对特定的服务启用。请求与上面相同，但是POST请求发送到服务的URL：

  curl -X POST http://localhost:8001/services/example_service/plugins \
    --data name=key-auth

 基于路由的密钥认证

Key认证插件可以针对特定的路由启用。请求与上面相同，但是POST请求发送到路由的URL：

  curl -X POST http://localhost:8001/routes/example_route/plugins \
    --data name=key-auth

 （可选）禁用插件

如果您按照此入门指南逐步操作，您将需要在以后的请求中使用此API密钥。如果您不想继续指定密钥，请在继续之前禁用插件。

1. 查找Key认证插件的ID 

curl -X GET http://localhost:8001/plugins/

 您将收到一个包含id字段的JSON响应，类似于以下代码片段：

...
"id": "2512e48d9-7by0-674c-84b7-00606792f96b"
...

2. 禁用插件

使用上面获得的插件ID对安装的Key认证插件上的enabled字段进行PATCH。您的请求将类似于以下内容，替换正确的插件ID：

curl -X PATCH http://localhost:8001/plugins/2512e48d9-7by0-674c-84b7-00606792f96b \
 --data enabled=false

 3. 测试已禁用的身份验证

现在您可以进行一个没有提供API密钥的请求：

curl -i http://localhost:8000/mock/anything

 您应该会收到：

HTTP/1.1 200 OK