实施Stormpath支持的身份和访问管理

Question

我们计划为我们的某个应用程序创建一个身份和访问管理系统，并且使用Stormpath在ROI中提出了许多有意义的内容，因为其中一个决定是让IAM系统抽象Stormpath，因此需要我们可以用备用（自定义或其他SaaS）替换它。

如果以下流程在技术上可行，请告知我们。

Login) Client ---Password Grant--> My IAM --Forward--> Stormpath Server --Token--> My IAM --Forward Token--> Client

Authorization) Client --Token--> My IAM --Forward--> Stormpath --Result--> My IAM --Forward--> Client(Success/Failed/Refresh)

Logout) Client --Token--> My IAM --Invalidate the Token-->  Stormpath --Token invalidated--> My IAM --Logged out--> Client 

截至目前的Grant类型将是password_grant，因为我们正在验证我们的REST服务，并且没有为第三方应用程序提供API

Answer 1

Stormpath通过令牌管理/验证API支持此功能。

这里有详细记录： https://docs.stormpath.com/guides/token-management/

如果您已经在实施OAuth端点，则可以将这些请求转发到Stormpath应用程序的/oauth/token端点，Stormpath将生成符合OAuth 2.0标准的访问令牌和刷新令牌，并具有可配置的到期时间。

授权也支持验证： https://docs.stormpath.com/guides/token-management/#validating-access-tokens

您可以通过API利用的其他一些不错的功能是刷新访问令牌（使用刷新令牌）并撤消令牌。