Stratégie d'authentification Microservice

j'ai du mal à choisir une stratégie d'authentification décente/sécurisée pour une architecture microservice. Le seul message que j'ai trouvé sur le sujet est celui-ci: inscription simple dans L'Architecture Microservice

Mon idée est d'avoir dans chaque service (par exemple. authentification, messagerie, notification, profil, etc.) une référence unique à chaque utilisateur (tout à fait logiquement puis son user_id ) et la possibilité d'obtenir l'utilisateur courant de id si connecté.

de mes recherches, je vois qu'il y a deux stratégies possibles:

1. Architecture partagée

dans cette stratégie, l'application d'authentification est un service parmi d'autres. Mais chaque service doit être en mesure de faire la conversion session_id => user_id donc il doit être très simple. C'est pourquoi J'ai pensé à Redis, qui stockerait la clé: valeur session_id:user_id .

2. Architecture pare-feu

dans cette stratégie, le stockage de session n'a pas vraiment d'importance, car il n'est géré que par l'application d'authentification. Ensuite, le user_id peut être transmis à d'autres services. J'ai pensé à rail + Device (+Redis ou mem-cached, ou cookie storage,etc.) mais il y a des tonnes de possibilités. La seule chose qui importe est que le Service X n'aura jamais besoin de authentifier l'utilisateur.

comment ces deux solutions se comparent-elles en termes de:

• sécurité
• robustesse
• évolutivité
• facilité d'utilisation

ou peut-être suggérez-vous une autre solution que je n'ai pas mentionnée ici?

j'aime mieux la solution #1 mais je n'ai pas trouvé beaucoup de défaut une mise en œuvre qui me garantirait que je vais dans la bonne direction.

j'espère que ma question ne sera pas Close. Je ne sais pas vraiment d'autre endroit pour la poser.

Merci d'avance