我正在使用 Identity Server 4 来管理我组织中所有应用程序的登录信息。 所以我部署了 IdentityServer 4 并连接到 sql server 数据库。 现在我有 5 个客户端应用程序，每个应用程序都有自己的角色/声明（即应用程序 1 有经理、会计师，而应用程序 2 有开发人员、经理、电工，应用程序 3 有设计师、管理员、审阅者......）。 我的问题是： 我是将这些用户角色/声明放在 Identityserver4 数据库中，还是每个应用程序都有自己的数据库来保存自己的用户角色/声明？
谢谢
【问题讨论】：
标签： sql identityserver4 claims-based-identity
您可以通过向 IdentityServer 数据库添加一个额外的表来解决它，例如 RoleClientAuthorizations。您需要在此表中保存 RoleId、ClientId 和 AuthorizationLevel。
然后您可以在运行时在 ProfileService 中返回有关该客户端的所有声明。
public class ProfileService : IProfileService
{
private readonly IUserClaimsPrincipalFactory<ApplicationUser> _claimsFactory;
private readonly UserManager<ApplicationUser> _userManager;
private readonly IClientService _clientService;
public ProfileService(UserManager<ApplicationUser> userManager, IUserClaimsPrincipalFactory<ApplicationUser> claimsFactory,IClientService clientService)
{
_userManager = userManager;
_claimsFactory = claimsFactory;
_clientService = clientService;
}
public async Task GetProfileDataAsync(ProfileDataRequestContext context)
{
var sub = context.Subject.GetSubjectId();
var user = await _userManager.FindByIdAsync(sub);
var principal = await _claimsFactory.CreateAsync(user);
var clientId = context.Client.ClientId;
var claims = principal.Claims.ToList();
--You will get role client information from RoleClientAuthorization table here
var userAuthorizationLevelClaim = _clientService.GetUserAuthorizationLevel(clientId, sub);
if(userAuthorizationLevelClaim != null)
{
claims.Add(new Claim("authorizationLevelCode", userAuthorizationLevelClaim.AuthorizationLevelId.ToString()));
claims.Add(new Claim("authorizationPrivilegeType", userAuthorizationLevelClaim.PrivilegeType));
}
context.IssuedClaims = claims;
}
public async Task IsActiveAsync(IsActiveContext context)
{
var sub = context.Subject.GetSubjectId();
var user = await _userManager.FindByIdAsync(sub);
context.IsActive = user != null;
}
在启动中；
services.AddIdentity()
.AddProfileService<ProfileService>();
【讨论】：
这听起来有点像您混淆了身份验证和授权。您的身份不应该从一个应用程序到另一个应用程序发生变化——您是谁以及您由什么组成是一个常数（ish），并且您的身份不应该仅仅因为您现在在不同的应用程序上而改变。 是的，您的角色可能会因应用程序以及您的权限和授权决策而异，但不会因您的身份而异。 https://leastprivilege.com/2016/12/16/identity-vs-permissions/
使用 IdentityServer 来管理身份并颁发身份证明非常棒，但您应该寻找一种不同的解决方案来在您的应用程序中授权用户......让这些应用程序决定是否在提供的身份的情况下，用户被允许做这件事。这可能是基于角色的，或者涉及更多的东西。这意味着您应该管理用户在每个应用程序中拥有的应用程序角色，而不是使用身份服务器。
【讨论】：