使用外部 OpenID Connect 身份提供程序进行 WSO2 存储访问

Question

我正在设置 WSO2 API 管理器的实例，并希望通过将其链接到我现有的 OpenID Connect 身份服务器 (OpenAM) 来让开发人员访问 API“存储”页面。我已将 OIDC 配置添加到存储配置文件 (wso2am-2.6.0/repository/deployment/server/jaggeryapps/store/site/conf/site.json) 中，其中包含授权、令牌、用户信息端点等。

当用户在商店中单击登录时，它会正确地将他们重定向到 OpenAM 进行登录，并将访问令牌传回商店应用程序。我还确保从 userinfo 端点（如首选用户名）返回一些必需的声明。例如，我还返回了一个“组”声明，其中列出了用户应该在“订阅者”中的组。

我从 userinfo 返回的声明是：

{  
   "address":{  
      "formatted":"My House"
   },
   "given_name":"Danny",
   "family_name":"Developer",
   "name":"Danny Developer",
   "preferred_username":"Danny Developer",
   "groups":[  
      "subscriber"
   ],
   "email":"adam.hatherly@nhs.net",
   "sub":"developer1"
}

但是，无论我尝试使用声明和组名，商店仍然会给出错误消息“不允许用户登录商店。”。我假设我需要在访问令牌或 userinfo 端点中添加其他内容 声明列表以使商店应用程序接受用户，或者商店或碳控制台中的一些其他配置？

Answer 1

用户登录问题的原因是用户没有登录商店的相关权限。用户需要分配给它的内部/订阅者角色。由于用户来自 OpenAM 并且 APIM 没有任何信息来授权它，因此登录失败。

为此，您应该与 APIM 共享用户 OpenAM 用户存储（例如共享 LDAP）并为用户分配内部/订阅者角色，或者使用自定义代码将用户添加到 APIM 用户存储并分配角色。

另一个最简单的选择是在 APIM 端创建一个具有订阅者角色的用户（添加一个虚拟密码）。但如果您不了解所有用户，这不是一个合适的解决方案