在 wso2 身份服务器 5.9.0 中，是否可以将 SP 身份验证限制为单个用户存储？

Question

我已经使用 jdk 11.0.6 在 OEL 7.6 上安装了 wso2 身份服务器 5.9.0。我已经为基于 OpenID Connect 的身份验证配置了一个 SP - 客户端是 Oracle HTTP Server，它带有 mod_auth_oidc 代理请求到 weblogic 服务器上的应用程序。我专门为我的 SP 的用户创建了一个辅助用户存储，我想限制 SP 身份验证仅使用该辅助用户存储（不使用登录用户名的域前缀），但无法找到任何专门针对的选项/信息那。我也会为其他 SP 应用程序提供更多辅助用户商店，并且他们可能拥有具有相同用户名的用户。我看过一篇关于使用 XACML 实现用户存储或角色限制授权策略的帖子 - 这是针对此类要求的推荐方法，还是有另一种更简单/更好的方法来实现相同的要求？

Answer 1

您也可以使用 XACML 策略。但在 5.9.0 中，您可以使用自适应身份验证 script 来控制对特定用户存储的访问。

如果用户来自特定的用户商店，上述链接的场景是加强。在您的情况下，如果用户来自其他用户商店，则不需要使用 sendError 函数。

这是一个示例脚本

var allowedUserstores = ['EMPLOYEES', 'CONTRACTORS'];

var onLoginRequest = function(context) {
    executeStep(1, {
        onSuccess: function (context) {
            // Extracting user store domain of authenticated subject from the first step
            var userStoreDomain = context.currentKnownSubject.userStoreDomain;
            if (userStoresToStepUp.indexOf(userStoreDomain) < 0) {
                sendError('http://www.example.com/error',{'errorcode':'000403','errorMsg':'You are not allowed to login to this app.'});
            }
        }
    });
};

Answer 2

您可以使用 XACML 进行细粒度的访问控制。对于身份验证流程，

• 通过管理控制台发布 XACML 策略，该策略可以验证用户属性和用户存储，并返回用户是否可以通过身份验证访问资源。
• 您可以按照此documentation 为服务提供商配置访问控制策略。

下面给出了一个基于用户存储对用户进行身份验证的示例 XACML 策略

<Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"  PolicyId="authn_dynamic_userstore_based_policy_template" RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:first-applicable" Version="1.0">
   <Description>This policy template provides ability to authorize users to a given service provider(defined by SP_NAME) in the authentication flow based on the userstore of the user. Users who are in the userstore,will be allowed any others will be denied.</Description>
   <Target>
      <AnyOf>
         <AllOf>
            <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">travelocity.com</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/identity/sp/sp-name" Category="http://wso2.org/identity/sp" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="false"></AttributeDesignator>
            </Match>
            <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">authenticate</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/identity/identity-action/action-name" Category="http://wso2.org/identity/identity-action" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="false"></AttributeDesignator>
            </Match>
         </AllOf>
      </AnyOf>
   </Target>
   <Rule Effect="Permit" RuleId="permit_by_userstore">
      <Condition>
         <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:and">
            <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-is-in">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">PRIMARY</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/identity/user/user-store-domain" Category="http://wso2.org/identity/user" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Apply>
            <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-is-in">
               <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">carbon.super</AttributeValue>
               <AttributeDesignator AttributeId="http://wso2.org/identity/user/user-tenant-domain" Category="http://wso2.org/identity/user" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="true"></AttributeDesignator>
            </Apply>
         </Apply>
      </Condition>
   </Rule>
   <Rule Effect="Deny" RuleId="deny_others"></Rule>
</Policy>