Question

我正在尝试对我的WSO2 Identity Server中的策略使用EntitlementService操作GetEntitledAttributes。我期待如果我使这个调用只传入一个subject_id（角色名称），我应该找回适用于该角色的资源和操作，但我根本没有匹配。在下面提供的示例中，我希望获得资源“EchoService”和操作“read”。我使用WSO2 IS 4.1.0与默认策略和属性查找器。有人可以告诉我从WSO2身份服务器获取权利需要做些什么吗？

谢谢，

卡特里娜

这是请求：

    <?xml version='1.0' encoding='utf-8'?>
     <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/">
       <soapenv:Body>
         <getEntitledAttributes xmlns="http://org.apache.axis2/xsd"                xmlns:ns2="http://dto.entitlement.identity.carbon.wso2.org/xsd">
           <subjectName>Manager</subjectName>
           <resourceName/>
           <subjectId/>
           <action/>
          <enableChildSearch>true</enableChildSearch>
        </getEntitledAttributes>
       </soapenv:Body>
      </soapenv:Envelope>

以下是应评估的政策之一：

    <Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"      PolicyId="EchoServicePolicy"      RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
<Target>
      <AnyOf>
         <AllOf>
            <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Manager</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/claims/role" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject"                 DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Match>
         </AllOf>
      </AnyOf>
   </Target>
   <Rule Effect="Permit" RuleId="Rule-1">
      <Target>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">EcoService</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"              DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">read</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action"              DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
      </Target>
   </Rule>
   <Rule Effect="Deny" RuleId="Rule-2">
      <Target>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">EcoService</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource"                DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
         <AnyOf>
            <AllOf>
               <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
                  <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">write</AttributeValue>
                  <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action"                DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
               </Match>
            </AllOf>
         </AnyOf>
      </Target>
   </Rule>
</Policy>

Answer 1

此方法允许应用程序根据XACML PDP以动态方式检查使用的资源是什么。根据XACML核心规范，它只讨论可以提供布尔值授权结果的PDP（基本上允许），使用建议和义务，拒绝，不适用，不确定结果和一些其他数据）。基本上从PDP，应用程序（PEP）可能会问“用户是否有权这样做”？并且应用程序（PEP）不能问诸如“给定用户允许的资源和操作是什么？”之类的问题。该方法提供了该功能。您可以从here找到更多详细信息，还有一个可以尝试的示例

如何从我的WSO2 Identity Server获得权利？

1 个答案: