فلش‌کارت‌های آموزشی معماری نرم‌افزار: امنیت APIها در معماری میکروسرویس‌ها

🎓 دوره آموزشی جامع

📚 اطلاعات دوره

عنوان دوره: دوره معماری نرم‌افزار: امنیت APIها در معماری میکروسرویس‌ها

موضوع کلی: برنامه نویسی

موضوع میانی: معماری نرم‌افزار

📋 سرفصل‌های دوره

• 1. مقدمه‌ای بر معماری نرم‌افزار
• 2. معرفی معماری میکروسرویس
• 3. مقایسه میکروسرویس و مونولیتیک
• 4. API چیست؟ انواع APIها (REST, GraphQL, gRPC)
• 5. نقش APIها در ارتباطات بین سرویسی
• 6. چرا امنیت در معماری میکروسرویس حیاتی است؟
• 7. مقدمه‌ای بر امنیت API
• 8. سطح حمله (Attack Surface) در سیستم‌های توزیع‌شده
• 9. اصول بنیادین امنیت اطلاعات: سه‌گانه CIA (محرمانگی، یکپارچگی، در دسترس بودن)
• 10. مدل AAA: احراز هویت، مجوزدهی و حسابرسی (Authentication, Authorization, Accounting)
• 11. مسئولیت‌های معمار نرم‌افزار در حوزه امنیت
• 12. آشنایی با مفهوم DevSecOps
• 13. چرخه حیات توسعه نرم‌افزار امن (Secure SDLC)
• 14. چالش‌های امنیتی خاص معماری میکروسرویس
• 15. بررسی یک مورد واقعی: نقض امنیتی به دلیل ضعف API
• 16. معرفی OWASP API Security Top 10
• 17. شکست در سطح مجوزدهی به اشیاء (Broken Object Level Authorization - BOLA)
• 18. شکست در احراز هویت (Broken Authentication)
• 19. افشای بیش از حد داده‌ها (Excessive Data Exposure)
• 20. کمبود منابع و نرخ درخواست (Lack of Resources & Rate Limiting)
• 21. شکست در سطح مجوزدهی به توابع (Broken Function Level Authorization - BFLA)
• 22. تخصیص انبوه ناامن (Mass Assignment)
• 23. پیکربندی نادرست امنیتی (Security Misconfiguration)
• 24. تزریق (Injection) در APIها
• 25. مدیریت ناصحیح دارایی‌ها (Improper Assets Management)
• 26. لاگ‌برداری و نظارت ناکافی (Insufficient Logging & Monitoring)
• 27. مفهوم دفاع در عمق (Defense in Depth)
• 28. اصل حداقل دسترسی (Principle of Least Privilege)
• 29. رمزنگاری در حال انتقال (Encryption in Transit): TLS/SSL
• 30. رمزنگاری در حالت سکون (Encryption at Rest)
• 31. اهمیت اعتبارسنجی ورودی‌ها (Input Validation)
• 32. مدیریت امن خطاها و استثناها
• 33. امنیت هدرهای HTTP
• 34. سیاست‌های اشتراک منابع بین مبدأ (CORS)
• 35. حفاظت در برابر حملات CSRF و XSS در زمینه API
• 36. مقدمه‌ای بر کلیدهای API (API Keys) و محدودیت‌های آن
• 37. تفاوت احراز هویت (Authentication) و مجوزدهی (Authorization)
• 38. روش‌های ساده احراز هویت: Basic Auth و معایب آن
• 39. معرفی احراز هویت مبتنی بر توکن (Token-based Authentication)
• 40. آشنایی با JSON Web Tokens (JWT)
• 41. ساختار JWT: هدر، بدنه (Payload) و امضا
• 42. الگوریتم‌های امضای JWT: HMAC و RSA
• 43. ادعاها (Claims) در JWT: ثبت‌شده، عمومی و خصوصی
• 44. اعتبارسنجی JWT در سمت سرور
• 45. مشکلات امنیتی JWT و راه‌های مقابله
• 46. مدیریت طول عمر توکن‌ها: انقضا و تازه‌سازی
• 47. مقدمه‌ای بر پروتکل OAuth 2.0
• 48. نقش‌ها در OAuth 2.0: Resource Owner, Client, Authorization Server, Resource Server
• 49. جریان کاری Authorization Code Grant
• 50. جریان کاری Implicit Grant (و چرا نباید از آن استفاده کرد)
• 51. جریان کاری Client Credentials Grant برای ارتباطات ماشین به ماشین
• 52. جریان کاری Resource Owner Password Credentials Grant
• 53. آشنایی با Refresh Tokens و نحوه مدیریت امن آن‌ها
• 54. ابطال توکن‌ها (Token Revocation)
• 55. مفهوم Scope و Audience در OAuth 2.0
• 56. معرفی OpenID Connect (OIDC) به عنوان لایه‌ای بر روی OAuth 2.0
• 57. تفاوت Access Token و ID Token
• 58. پیاده‌سازی Single Sign-On (SSO) با OIDC
• 59. جریان احراز هویت و مجوزدهی در میکروسرویس‌ها
• 60. الگوی کنترل دسترسی مبتنی بر نقش (RBAC)
• 61. الگوی کنترل دسترسی مبتنی بر ویژگی (ABAC)
• 62. پیاده‌سازی RBAC در میکروسرویس‌ها
• 63. استفاده از ادعاهای سفارشی (Custom Claims) برای مجوزدهی دقیق
• 64. امنیت ارتباطات بین سرورهای احراز هویت و سرویس‌ها
• 65. انتخاب یک Identity Provider (IdP) مناسب: Keycloak, Auth0, Okta
• 66. الگوی API Gateway و نقش آن در امنیت
• 67. تجمیع احراز هویت و مجوزدهی در API Gateway
• 68. تخلیه بار TLS (TLS Termination) در Gateway
• 69. پیاده‌سازی Rate Limiting و Throttling در Gateway
• 70. استفاده از Web Application Firewall (WAF) در لبه شبکه
• 71. الگوی Backend for Frontend (BFF) و ملاحظات امنیتی آن
• 72. ارتباط امن سرویس به سرویس (Service-to-Service Communication)
• 73. معرفی Mutual TLS (mTLS)
• 74. پیاده‌سازی mTLS برای ارتباطات داخلی
• 75. معرفی Service Mesh و نقش آن در امنیت
• 76. امکانات امنیتی Istio: احراز هویت، مجوزدهی و رمزنگاری
• 77. مدیریت اسرار (Secrets Management) چیست؟
• 78. استفاده از HashiCorp Vault برای مدیریت اسرار
• 79. تزریق امن اسرار به کانتینرها
• 80. امنیت در سطح کانتینر: ایمن‌سازی Docker Image
• 81. اسکن آسیب‌پذیری ایمیج‌های داکر
• 82. امنیت در ارکستریشن: اصول امنیتی Kubernetes
• 83. استفاده از Network Policies در Kubernetes
• 84. مدیریت Service Accounts و RBAC در Kubernetes
• 85. مفهوم معماری اعتماد صفر (Zero Trust Architecture)
• 86. پیاده‌سازی اصول Zero Trust در معماری میکروسرویس
• 87. جداسازی شبکه (Network Segmentation)
• 88. امنیت زیرساخت به عنوان کد (Security for IaC)
• 89. الگوی Strangler Fig برای انتقال امن از مونولیت به میکروسرویس
• 90. توزیع و انتشار مجوزها بین سرویس‌ها
• 91. لاگ‌برداری متمرکز برای رویدادهای امنیتی
• 92. نظارت (Monitoring) و هشداردهی (Alerting) امنیتی
• 93. ردیابی توزیع‌شده (Distributed Tracing) و کاربردهای امنیتی آن
• 94. تست امنیت ایستا (SAST) و پویا (DAST) برای APIها
• 95. تست نفوذ (Penetration Testing) در معماری میکروسرویس
• 96. برنامه‌ریزی و واکنش به رخدادهای امنیتی (Incident Response)
• 97. مدیریت نسخه‌های API (API Versioning) و ملاحظات امنیتی
• 98. چالش‌های امنیتی خاص GraphQL
• 99. روندهای آینده در امنیت API و میکروسرویس‌ها
• 100. جمع‌بندی: چک‌لیست نهایی برای معماری امن API در میکروسرویس‌ها