本文预览一下gRPC认证，包含内置已支持的认证机制，如何添加自己的认证系统和如何在支持的语言里使用gRPC认证的例子。
简介
gRPC设计可以和很多认证机制工作，可以很简单安全的使用gRPC与其他系统沟通。可以使用我们已支持的机制 - SSL/TLS使用或者不适用Google基于token认证 - 或者可以添加你自己的认证系统通过扩展我们提供的代码。
gRPC同样提供了简单的认证API，让你提供所有需要的认证信息作为凭证(Credentials)在创建channel或者请求时。
已支持的认证机制
下面的认证机制是gRPC内置的:
SSL/TLS: gRPC继承了SSL/TLS，并且提升了SSL/TLS认证服务器的使用，加密所有客户端和服务端的数据交换。为客户端提供相互认证的证书机制是可选的。
基于Google的Token认证：gRPC提供了通用的机制(下面介绍)对请求和响应附加metadata。另外支持使用tokens(一般是OAuth2 tokens)在通过gRPC使用Google API提供确认的认证流程：可以在下面代码例子里查看如何使用。一般这种机制必须是SSL/TLS的 - 没有SSL/TLS Google不允许连接，并且大多数gRPC语言实现不会让你在未加密的渠道上发送认证。
警告：谷歌认证只允许用于谷歌服务。如果发送一个谷歌的OAuth2 token到非谷歌服务会导致这个token被窃取然后滥用谷歌的服务。
认证API
gRPC提供了简单的认证API，基于统一认证对象的概念，可以用在创建整个gRPC管道或单个调用的时候。
凭证类型
两种凭证类型：
- Channel凭证，当访问到Channel时，比如SSL凭证。
- Call凭证，当触发一个调用时(或者C++里的ClientContext)。
也可以在CompositeChannelCredentials组合使用，允许你指定，比如SSL 凭证给channel，然后这个channel上的每个请求用call凭证。CompositeChannelCredentials结合ChannelCredentials和CallCredentials来创建一个新的ChannelCredentials。结果发送认证数据与channel上的每个请求CallCredentialswith组合。
比如，你可以创建SslCredentials的ChannelCredentials和AccessTokenCredentials。结果就是在Channel上使用时将会为Channel上的每个请求发送合适的认证token。
单个CallCredentials同样可以与CompositeCallCredentials组合。这会当CallCredentials使用在请求上是将会触发发送认证数据和两个CallCredentials。
使用客户端SSL/TLS
现在我们看一下Credentials如何与我们支持的认证机制合作。这是最简单的认证场景：客户端指向认证服务器并加密所有的数据。例子是用C++，但是API对所有的语言都相同：你可以在我们下面的例子里看到很多语言里如何启用SSL/TLS：
// Create a default SSL ChannelCredentials object.
auto channel_creds = grpc::SslCredentials(grpc::SslCredentialsOptions());
// Create a channel using the credentials created in the previous step.
auto channel = grpc::CreateChannel(server_name, channel_creds);
// Create a stub on the channel.
std::unique_ptr<Greeter::Stub> stub(Greeter::NewStub(channel));
// Make actual RPC calls on the stub.
grpc::Status s = stub->sayHello(&context, *request, response);
对于更高级的案例，比如修改根CA或者使用客户端证书，相应的选项可以在SslCredentialsOptions参数里设置传递给工厂方法。
基于谷歌token认证
gRPC应用可以使用简单的API创建认证，用于和Google各种开发场景认证。同样，我们的例子是C++，但是你可以找到其他语言的例子：
auto creds = grpc::GoogleDefaultCredentials();
// Create a channel, stub and make RPC calls (same as in the previous example)
auto channel = grpc::CreateChannel(server_name, creds);
std::unique_ptr<Greeter::Stub> stub(Greeter::NewStub(channel));
grpc::Status s = stub->sayHello(&context, *request, response);
这个channel认证对象用于使用Service Accounts的应用，以及运行在Google Compute Engine (GCE)的应用.
在前一种情况下，服务账户的私钥会被环境变量里的GOOGLE_APPLICATION_CREDENTIALS文件加载。密钥用于生成无记名令牌附加到每个发送的RPC在相应的channel。
对于运行在GCE里的应用程序，默认的服务账户和相应的OAuth2域可以在VM设置期间配置。在运行时，这个凭证处理和认证系统通信获取OAuth2访问tokens，然后加在相应的channel里的发送的RPC。
扩展gRPC支持其他认证机制
认证插件API允许开发者加入自己的认证类型。这包括：
- MetadataCredentialsPlugin抽象类，包含纯净的虚拟GetMetadata方法，需要被开发者创建的子类实现。
- MetadataCredentialsFromPlugin方法,在MetadataCredentialsPlugin插件里创建一个CallCredentials。
下面是一个简单认证插件例子，在自定义header里设置凭证ticket：
class MyCustomAuthenticator : public grpc::MetadataCredentialsPlugin {
public:
MyCustomAuthenticator(const grpc::string& ticket) : ticket_(ticket) {}
grpc::Status GetMetadata(
grpc::string_ref service_url, grpc::string_ref method_name,
const grpc::AuthContext& channel_auth_context,
std::multimap<grpc::string, grpc::string>* metadata) override {
metadata->insert(std::make_pair("x-custom-auth-ticket", ticket_));
return grpc::Status::OK;
}
private:
grpc::string ticket_;
};
auto call_creds = grpc::MetadataCredentialsFromPlugin(
std::unique_ptr<grpc::MetadataCredentialsPlugin>(
new MyCustomAuthenticator("super-secret-ticket")));
更深层次的插件集成实现gRPC凭证实现是在源代码等级。gRPC内部同样可以与其他加密实现交换SSL/TLS。
示例
这些认证机制可以在gRPC支持的所有语言里可用。下面会演示如何认证和在每个语言里上面讲述的认证特性：更多语言准备中。
Java
基础案例 - 无需加密或认证
ManagedChannel channel = ManagedChannelBuilder.forAddress("localhost", 50051)
.usePlaintext(true)
.build();
GreeterGrpc.GreeterStub stub = GreeterGrpc.newStub(channel);
使用服务端认证SSL/TLS
如果gRPC是TLS的，我们建议在Java里使用OpenSSL。可以在Security文档里查看如何安装和使用OpenSSL和其他必须的库。
在服务端启用TLS，证书链和密钥需要制定为PEM格式。标准的TLS端口是443，但是下面我们使用8443，以免需要系统的额外权限。
Server server = ServerBuilder.forPort(8443)
// Enable TLS
.useTransportSecurity(certChainFile, privateKeyFile)
.addService(TestServiceGrpc.bindService(serviceImplementation))
.build();
server.start();
如果客户端不知道发行证书机构，那么正确的配置SslContext或者SSLSocketFactory应该提供给NettyChannelBuilder或者OkHttpChannelBuilder。
在客户端，服务端的SSL/TLS认证看起来像：
// With server authentication SSL/TLS
ManagedChannel channel = ManagedChannelBuilder.forAddress("myservice.example.com", 443)
.build();
GreeterGrpc.GreeterStub stub = GreeterGrpc.newStub(channel);
// With server authentication SSL/TLS; custom CA root certificates; not on Android
ManagedChannel channel = NettyChannelBuilder.forAddress("myservice.example.com", 443)
.sslContext(GrpcSslContexts.forClient().trustManager(new File("roots.pem")).build())
.build();
GreeterGrpc.GreeterStub stub = GreeterGrpc.newStub(channel);
谷歌认证
下面的代码片段演示如何使用服务账户和gRPC调用Google Cloud PubSub API。证书从已知的位置加载或者通过程序运行环境提供的自动发现，比如，Google Compute Engine。这个例子是指定谷歌和他的服务的，其他服务提供者可以使用相同的模式。
GoogleCredentials creds = GoogleCredentials.getApplicationDefault();
ManagedChannel channel = ManagedChannelBuilder.forTarget("greeter.googleapis.com")
.build();
GreeterGrpc.GreeterStub stub = GreeterGrpc.newStub(channel)
.withCallCredentials(MoreCallCredentials.from(creds));
