https://speedle.io/zh/tags/identity/ Recent content in Identity on Speedle Hugo -- gohugo.io zh-cn Thu, 17 Jan 2019 13:20:07 +0800 https://speedle.io/zh/docs/idd/ Thu, 17 Jan 2019 13:20:07 +0800 https://speedle.io/zh/docs/idd/ 什么是用户身份域? 身份域是用户和组的逻辑名称空间，通常表示物理数据存储中的一组离散用户和组。 每个身份域独立管理用户和组， 用户名和组名在标识域中必须是唯一的。 问题 在集成环境中，身份可能来自多个身份域。 例如，考虑以下场景，具有身份为user1的用户被授权对资源book执行rent操作。 此授权策略表示来自任何身份域的身份为user1的用户都具有权限以租用图书资源。 ./spctl create policy -c "grant user user1 rent book" --service-name=booksvc 但是，该服务只希望来自身份域github的user1具有rent权限。 因此，Speedle 必须能够区分来自不同身份域的用户。 解决方案 要确保仅授予来自预期身份域的用户权限，您需要根据用户/组标识符和用户/组身份域构造新的用户/组标识符。 然后，您可以在 Speedle 策略中使用新的用户/组标识符。 新标识符结构定义如下，其中 IDD 表示身份域属性。 type Principal struct { Type string `json:"type,omitempty"` Name string `json:"name,omitempty"` IDD string `json:"idd,omitempty"` } 备注: 身份提供商（如[google account]（https://account.google.com/））不支持多个身份域，而[IDCS]（https://www.oracle.com/cloud/paas/identity-cloud -service.html）确实支持多个身份域。 身份域属性的值取决于实现。 使用身份域定义授权策略 要指定从指定的标识域为用户定义策略，请使用[SPDL]（../ spdl）关键字: from <identity domain> POLICY = EFFECT SUBJECT from <identity domain< ACTION RESOURCE if CONDITION 示例 这个策略表明只有来自github身份提供者的user1才能对book资源执行read动作： # 授权来自 github 的名为 user1 的用户可以对资源： book具有 read的权限 . https://speedle.io/zh/docs/assertor/ Mon, 21 Jan 2019 09:28:30 +0800 https://speedle.io/zh/docs/assertor/ 令牌用户身份断言的好处 评估请求可以包含由任何身份提供者作为传入用户身份发布的身份令牌，而不是明确指定用户身份（用户标识符和用户所属的那些组）。 将 Speedle 集成到服务中时，您的服务无需验证和解析身份令牌。 Speedle 可以为您做到。 Speedle 评估引擎检查传入请求是否包含身份令牌。 如果是，则评估引擎调用令牌断言服务的 webhook 以获得显式用户身份（用户标识符和组）。 然后，评估引擎可以基于用户身份域和组来执行策略评估。 如何评估包含身份令牌的授权请求 要评估包含身份令牌的授权请求，请按照下列步骤操作。 1. 实现断言服务的 webhook 接口 实现[Token Assertion Plugin API]（../ api / asserter_api）的断言服务将身份令牌，身份提供者和允许的身份域作为输入，并执行令牌验证和解析。 然后，该服务返回由身份令牌表示的显式身份（用户标识符和组）。 请注意，如果设置了用户的身份域，则经过断言服务的用户标识可能包含用户/组的身份域。 示例断言服务 备注: 此示例断言器服务仅用于测试目的。 示例断言器服务源代码： package main import ( "encoding/json" "log" "net/http" ) const ( // user type of Principal PRINCIPAL_TYPE_USER = "user" // group type of Principal PRINCIPAL_TYPE_GROUP = "group" // entity type of Principal PRINCIPAL_TYPE_ENTITY = "entity" ) // Principal of Speedle type Principal struct { Type string `json:"type,omitempty"` Name string `json:"name,omitempty"` IDD string `json:"idd,omitempty"` } // AssertResponse assertion response type AssertResponse struct { Principals []*Principal `json:"principals,omitempty"` Attributes map[string]interface{} `json:"attributes,omitempty"` // non zero indicates errors happen ErrCode int `json:"errCode"` ErrMessage string `json:"errMessage,omitempty"` } // SampleAsserter for testing only type SampleAsserter struct { } func (a SampleAsserter) ServeHTTP(w http.