Java 言語、例えば、Spring Framework を使用してアプリケーションを実装する場合に、認証といった横断的関心事は、Spring Security などのライブラリにより実現することがこれまでよく行われていました。

Spring Framework やこれらのライブラリは、Servlet や Servlet Filter といった基盤の上に構築されています。そして、認証のような横断的関心事の中心は Servlet Filter としてライブラリに実装されたコードになります。

外部からくる Ingress traffic が Servlet Filter や Servlet と通信し Egress traffic として外部に出ていく様子を図にすると次のようになります。

f:id:section27:20220212185620p:plain

モノリスなアプリケーションの場合、Servlet Filter のような仕組みを使って認証のような横断的関心事を実装することは特に問題にはなりませんでした。

クラウドコンピューティングの流行とともにマイクロサービスアーキテクチャの時代になり、問題は顕在化されてくることになります。

数百、数千というマイクロサービスに分割されたとき、それぞれのサービスが同時に全く同じ言語、フレームワークで構築されるというよりは、それぞれのサービスに適した言語、フレームワークが利用されることになります。

こうした時に横断的関心事の実装は言語に依存しないことが望ましいといえます。クラウドコンピューティングはコンテナテクノロジーの進化ももたらしました。コンテナはそれぞれが独自のサーバとして動作し独自のアドレスを持っているだけでなく、コンテナ間で通信する独自のネットワークを持つこともできます。

例えば、人気のある Envoy Proxy を Servlet Filter の代わりに利用すると、次の図のような構成にすることができます。

f:id:section27:20220212185725p:plain

Envoy Proxy と Open Policy Agent などを組み合わせると、JWT を使うユーザ認証や RBAC でのユーザ認可だけでなく、これまでアプリケーションに組み込んでいたさまざまな横断的関心事の実装を分離することができます。

ここで登場した、Envoy Proxy はサービスメッシュのデータプレーンでよく利用されるコンポーネントです。

サービスメッシュは、east-west トラフィックを処理し「The InfoQ eMag - Service Mesh Ultimate Guide 2021」によると、以下のような機能を提供します。