Access / refresh token на микросервисе?

Question

[Artem Nanavov]

Всем привет, интересен ответ на вопрос: Если на микросервисе упадет сервис который отвечает за access / refresh token, то что делать при отказе сервиса, и на сколько это правильно ( access / refresh token ) держать отдельным сервисом

Answer 1

[Илья Едрец]

На самом деле, это частая практика - выделать в отдельный микросервис сервис авторизации и аутентификации. К примеру, OpenID именно так и задумывался.
Если сервис ляжет, то у вас две потенциальные проблемы: клиенты не смогут получать новые токены, а апи сервисы не смогут валидировать токены от клиентов. От первой проблемы вы никак не избавитесь. А вторая может быть решена использованием JWT токенов, благодаря наличию подписи, апи сервисы могут провалидировать токен самостоятельно, не обращаясь к сервису авторизации.