マイクロサービスアーキテクチャと公開鍵発行におけるJWT検証

Question

私たちは、Webアプリケーションシステムをマイクロサービスアーキテクチャにリファクタリングしています。
JWTでユーザーを認証し、承認データを保存することにしました。例えば、トークンのペイロードから、ユーザが特定のリソースにアクセスできるかどうかを推論することができる。トークンが有効であれば

1. 各マイクロサービスは、署名サービス（例えば、APIゲートウェイを）聞いてきます：

   は、我々は2つの選択肢を検討します。

2. すべてのマイクロサービスは公開鍵を保持し、トークン自体を検証します。

公開鍵を管理する場合、ゲートウェイサービスはどのように公開鍵を他のすべてのマイクロサービスに公開できますか？

システムをどのように設計するのかについての情報はたくさんあるようですが、実際にそれらのことを実装する方法はありません。

Answer 1

オプション1については、署名サービスに多くの不必要な負担をかけるため、アドバイスします。

署名サービスは公開鍵を共有できます。そのキーを必要とするサービスは、起動時に単純に取得し、JWTの検証に使用することができます。つまり、署名サービスは、たとえばHTTPSを使用することで誰が言うのかを確認する必要があります。