时间戳

首页 > 解决方案 > wso2 API管理器和身份服务器中的RBAC（Role back access control）

wso2 - wso2 API管理器和身份服务器中的RBAC（Role back access control）

问题描述

我正在评估 WS02 Api 管理器和身份服务器。我的要求如下： 1）我们必须开发一个门户网站，其中所有 API 都将在 wso2 api 管理器中公开，其中多种最终用户类型将登录到门户网站，例如 A、B、C、d 并且都需要有不同的API 访问 2) 所有与门户/应用程序相关的后端 API 都将通过 wso2 API 管理器/网关公开。3) 最终用户身份验证、授权和 RBAC 必须由 WSO2 层执行，这意味着管理员应该被授权查看与管理员相关的内容，普通用户将具有受限访问权限。4）我知道我可以在 wso2 API 商店中创建一个应用程序，获取令牌并以安全的方式调用所有后端 API 并获得对应用程序的访问权限，但是基于登录用户的身份验证和授权将如何发生。

我从文档中阅读的解决方案是。1）我可以使用 wso2 身份服务器作为密钥管理器，以便将用户数据保存在自定义数据库中，例如 mssql。

https://docs.wso2.com/display/CLUSTER44x/Configuring+the+Identity+Server+5.2.0+as+a+Key+Manager+with+API+Manager+2.0.0

但不确定如何限制用户仅使用门户中的某些内容。请帮助我。

http://movingaheadblog.blogspot.com/2014/02/securing-your-web-service-with-oauth2.html

@gusto 你能帮我解决这个问题吗？谢谢

标签： wso2wso2iswso2-am

解决方案

您可以使用https://docs.wso2.com/display/AM260/Enabling+Role-Based+Access+Control+Using+XACML为您的应用程序使用基于 XACML 的访问控制策略。

当在 APIM 端调用特定 API 时，APIM 将要求 IS 根据请求参数（用户名、应用程序名称、API 名称）评估 XACML 策略，并返回是否允许。

您可以在此处找到有关编写 XAML 策略的更多信息，https://docs.wso2.com/display/IS570/Creating+a+XACML+Policy

推荐阅读