https://speedle.io/zh/tags/identity-domain/ Recent content in Identity Domain on Speedle Hugo -- gohugo.io zh-cn Thu, 17 Jan 2019 13:20:07 +0800 https://speedle.io/zh/docs/idd/ Thu, 17 Jan 2019 13:20:07 +0800 https://speedle.io/zh/docs/idd/ 什么是用户身份域? 身份域是用户和组的逻辑名称空间，通常表示物理数据存储中的一组离散用户和组。 每个身份域独立管理用户和组， 用户名和组名在标识域中必须是唯一的。 问题 在集成环境中，身份可能来自多个身份域。 例如，考虑以下场景，具有身份为user1的用户被授权对资源book执行rent操作。 此授权策略表示来自任何身份域的身份为user1的用户都具有权限以租用图书资源。 ./spctl create policy -c "grant user user1 rent book" --service-name=booksvc 但是，该服务只希望来自身份域github的user1具有rent权限。 因此，Speedle 必须能够区分来自不同身份域的用户。 解决方案 要确保仅授予来自预期身份域的用户权限，您需要根据用户/组标识符和用户/组身份域构造新的用户/组标识符。 然后，您可以在 Speedle 策略中使用新的用户/组标识符。 新标识符结构定义如下，其中 IDD 表示身份域属性。 type Principal struct { Type string `json:"type,omitempty"` Name string `json:"name,omitempty"` IDD string `json:"idd,omitempty"` } 备注: 身份提供商（如[google account]（https://account.google.com/））不支持多个身份域，而[IDCS]（https://www.oracle.com/cloud/paas/identity-cloud -service.html）确实支持多个身份域。 身份域属性的值取决于实现。 使用身份域定义授权策略 要指定从指定的标识域为用户定义策略，请使用[SPDL]（../ spdl）关键字: from <identity domain> POLICY = EFFECT SUBJECT from <identity domain< ACTION RESOURCE if CONDITION 示例 这个策略表明只有来自github身份提供者的user1才能对book资源执行read动作： # 授权来自 github 的名为 user1 的用户可以对资源： book具有 read的权限 .