WSO2IS Openid-connect: Contrôle d'accès en utilisant un accès jeton

Question

J'utilise WSO2IS en tant que fournisseur de OIDC pour l'authentification et l'autorisation. En utilisant l'attribution de code d'authentification, j'ai obtenu le jeton d'accès. Je dois autoriser les utilisateurs à accéder à des services spécifiques en fonction de leurs rôles.

J'ai essayé d'utiliser XACML pour résoudre ce problème, mais je trouve que je dois passer l'encodage base64 de nom d'utilisateur: mot de passe dans l'en-tête de la demande API REST XACML. Au lieu de cela, est-ce que je peux autoriser l'utilisateur à accéder à des services en fonction de leurs rôles, en utilisant access-token?

Cette partie de l'autorisation arrive dans le serveur de ressources. Je pensais pouvoir utiliser le point de terminaison d'introspection pour autoriser l'utilisateur en fonction du jeton d'accès à l'aide d'étendues. Mais je ne comprends pas comment les portées peuvent être utilisées pour fournir un contrôle d'accès aux utilisateurs?

Answer 1

Pour obtenir un jeton d'accès avec toutes les étendues disponibles pour un utilisateur, le client OAuth2 doit demander toutes les étendues qui l'intéressent et le jeton ne contiendra que celles auxquelles l'utilisateur a accès. Voir this question.

Oui, il est lourd, mais OAuth2 est avant tout un protocole de délégation d'autorisation - il permet aux utilisateurs de déléguer certains de leurs droits (champs) à un client.

Sinon, si vous pouvez décider des autorisations en fonction des rôles, vous pourriez probablement obtenir une liste des rôles d'utilisateur à partir d'un jeton d'identification.