导读

本文说明 CloudFoundry User Account and Authentication (UAA) Server 的权限系统是如何工作的。看完此文，您就会配置 UAA 的 Client 和 User 的权限，从而生成一个您需要的权限的 access token 了。

UAA 里所有可以配置权限的地方

users 表的 authorities 字段，这个字段暂时虽然叫权限，但是暂时没啥用
userinfo 表的 info 字段的 roles 属性
user group + external group 模块 + zone default groups
oauth_client_details 表的 authorities 字段和 scope 字段

UAA 里关于权限的几个概念

client scope ：client crediential时取client的authorities字段，其他方式时，使用client表的scope字段
user scope：group模块 + zone default user group
request scope：client scope 和 user scope 和用户请求的scope的交集

user scope 这个说法，就是 user 的 authority，注意不是 user 表的 authorities 字段存储的值，而是 group 模块存储的权限 zone default groups 的并集；users 表的 authorities 的值暂时没发现有任何作用。

5分钟学会 UAA 的权限配置

要怎么配置权限，首先看客户端请求 access token 和利用 access token 得到权限信息的方式。

请求 access token 的方式对权限配置的影响

从 UaaAuthorizationRequestManager 中可以得出如下的结论，Access Token 上的 Scope 的计算过程如下：

client scope的取值逻辑
当为client_credentials类型时，client scope来源为client的authorities字段；如果是其他类型的话，client scope的来源为为client表中scope字段的值；
如果用户输入了scopes，则client的scopes值为用户输入的scopes值剔除不在client scope来源中的scope，；如果用户没有传递scopes，
当为client_credentials类型时，client scope的值为client的authorities字段的值；如果是其他类型的话，token的scope的值为client表中scope字段的值；
user scope的取值逻辑为
当为client_credentials类型时，此时没有用户参与，也就没有user scope；如果是其他类型的，user scope 为group模块存储的权限 + zone default groups的并集；
取交集client scope和user scope的交集；

结论就是，access token 的 scope 字段是 client scope 和 user scope 的交集；如果是 client_credential 模式，则就是 client scope；

也就是说：

如果客户端使用 client_credential 的模式，此时没有用户参与，token scope = client scope[client_credentials]=oauth_client_details 表的 authorities 字段;

如果客户端不是 client_credential 模式，此时有用户参与，那此时 token scope = client scope[!client_credentials] 和 user scope 的交集 = oauth_client_details 表的 scope 字段的值和 user group 模块计算得出的 group 的交集；

利用 access token 交换权限信息的方式对权限配置的影响

从 OAuth2 and Friends Resource Server 一文可以看到，客户端获取用户的信息有三种方式，本地解密 access token ，check token endpoint 和 userinfo endpoint。

在 UAA 中，本地解密 access token ，check token endpoint 这两种方式本质上都是读取的 access token 里的 scope 字段，而 userinfo endpoint 接口读取的是 userinfo 表的 info 字段的 JSON 格式的值得 roles 属性。

CloudFoundry User Account and Authentication (UAA) Server‘s Scope System相关推荐

CloudFoundry User Account and Authentication (UAA) Server Identity Provider
相关类: org.cloudfoundry.identity.uaa.provider.oauth.XOAuthAuthenticationFilter org.cloudfoundry.identi ...
CloudFoundry User Account and Authentication (UAA) Server Access Token
UaaTokenService里面详细记录了clientdetails 和 users + userinfo是怎么映射到token中去的 userinfo表结构的info结构参见UserInfo类,r ...
CloudFoundry User Account and Authentication (UAA) Server Approvals
authz_approvals = authorized approvals by user for one client undecided scopes approved scopes denie ...
CloudFoundry User Account and Authentication (UAA) Server Group
groups存储的是一条条的权限,比如password,password.write,如果没有group_member表的话,password,password.write是没有什么关系的:group ...
创建Predix UAA（User Account and Authentication）
作者:唐翊国,开发者生态资深经理,GE数字集团 23年工作经验,长期在杜邦.欧文斯科宁.庄信万丰等从事制造业信息化工作,规划.实施了大量MES.SAP ERP.LIMS.BPM等项目,积累了丰富的制造 ...
账号密码登录（Account password authentication）
账号密码登录(Account password authentication) 直到输入账号正确才能输入密码(3次验证机会)并提示剩余次数,(正确的账号和密码信息来自properties文件读取匹配) ...
Windows Server 2016及System Center 2016正式商用
Windows Server 2016 及 System Center 2016 现已正式商用.作为微软全新一代的服务器操作系统和数据中心管理平台,它们将为企业 IT 带来全面的性能与安全性提升:为 ...
翻译 Windows Server 2016和System Center 2016 技术预览版4 使创新更容易
英文标题:Make innovation easier with Windows Server 2016 and System Center 2016 Technical 中文标题:Windows S ...
[转]Windows Server 2012 和 System Center 2012 SP1，Virtual Machine Manager 中启用的软件定义的网络...
消除障碍,实现云环境的灵活性.高效性和多租户功能当我们与客户谈论其数据中心时,我们发现虚拟化并未能充分发挥其潜能.客户对计算机虚拟化的优势大为认可,但他们希望能够获得更高程度的 IT 灵活性.客户 ...

CloudFoundry User Account and Authentication (UAA) Server‘s Scope System

文章目录

导读