Стоит ли выдавать доступ к базе данных микросервису?

Question

[EgorSvinarev]

Добрый вечер!
Занимаюсь проектированием учебного приложения на основе микросервисной архитектуры и возникла следующая ситуация: я планирую реализовывать API Gateway, на котором будет осуществляться авторизация/аутентификация пользователя. Каждый запрос будет прокидываться через сервис Auth, в котором будет проходить аутентификация средствами JWT-токенов. Ниже представил диаграмму:

Но тут у меня возник вопрос: откуда брать данные в Auth сервисе? Стоит ли выдавать ему прямой доступ к БД сервиса Users? Или лучше настроить отдельной реплику этой БД для него? А может стоит вообще поместить логику авторизации/аутентификации в сервис Users? (последний вариант спорный, потому что по идее сервис Auth должен быть максимально отказоустойчив и легковесен, т.к. через него проходит весь трафик приложения)

Comments

[Василий Банников]

Стоит ли выдавать ему прямой доступ к БД сервиса Users?

А какие данные из Users вдруг понадобились для аутентификации?

[EgorSvinarev]

Василий Банников, условно email/логин, пароль. Я планировал их там хранить

[Василий Банников]

EgorSvinarev, а зачем пароли в Users хранить?

Answer 1

[Сергей Горностаев]

1. Заводите для сервиса auth базу, в которой хранится только информация связанная с аутентификацией и авторизацией - идентификатор пользователя, хэш пароля, набор ролей, дата последней попытки логина, дата последнего успешного логина, количество неудачный попыток входа и т.п.;
   
2. Из БД сервиса User эту информацию убираете, храните там остальные данные пользователя - логин, ФИО, адрес и т.п.;
   
3. Добавляете в систему брокер очередей;
   
4. При регистрации нового пользователя сервис User порождает событие, кладёт его в очередь, а сервис Auth подписывается на эти события и создаёт у себя в БД соответствующие записи.
   

Answer 2

[Василий]

Общее правило 1 сервис 1 хранилище. Я бы предложил не усложнять систему. Пусть сервис Auth ходит в сервис User.

Answer 3

[Сергей Сахаров]

Конечно, я не разработчик, но
почему бы к БД не подключить AAA-сервис, например RADIUS?
https://ru.wikipedia.org/wiki/RADIUS