Informationen zur Zuordnung angepasster Claims

Ein Claim ist eine Erklärung, die von einer Entität zu sich selbst oder für eine andere Person abgegeben wird. Wenn Sie sich beispielsweise bei einer Anwendung mithilfe eines Identitätsproviders angemeldet haben, dann sendet der Provider der Anwendung eine Gruppe von Claims oder Erklärungen zu Ihrer Person, die diese Anwendung zusammen mit den Informationen, die bereits für Sie gespeichert wurden, in eine Gruppe einordnen kann. Auf diese Weise wird die App bei Ihrer Anmeldung mit Ihren Informationen eingerichtet, und zwar in der Art und Weise, in der Sie sie konfiguriert haben.

{
  "accessTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "moderator"
    },
    {
      "source": "saml",
      "sourceClaim": "viewer",
      "destinationClaim": "reader"
    }
  ],
  "idTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "attributes.uid"
    },
    {
      "source": "saml",
      "sourceClaim": "Name",
      "destinationClaim": "firstName"
    },
    {
      "source": "saml",
      "sourceClaim": "Country"
    }
  ]
}

Token konfigurieren

Mit der API können Sie anpassen, welche Informationen in Ihren App ID-Token zurückgegeben werden.

Wenn Sie die Lebensdauer Ihres Tokens konfigurieren möchten, können Sie die Änderungen schnell über das Service-Dashboard vornehmen. Weitere Informationen finden Sie unter Authentifizierung verwalten.

1. Führen Sie am Terminal den folgenden Befehl aus, um einen API-Schlüssel abzurufen.

   ibmcloud iam api-key-create NAME [-d DESCRIPTION] [-f, --file FILE]
   

   Verstehen der Optionen des Befehls zum Erstellen eines API-Schlüssels

   Option	Beschreibung
   NAME	Der Name, den Sie Ihrem Schlüssel geben wollen. Beispiel: myKey.
   DESCRIPTION	Eine Beschreibung des Schlüssels oder seiner Verwendung Beispiel: "This is my App ID API key".
   FILE	Die Position, an der Sie Ihren Schlüssel speichern wollen. Beispiel: key_file.

2. Rufen Sie mit dem API-Schlüssel, den Sie im vorherigen Schritt erhalten haben, ein IAM-Token ab.

   curl -k -X POST "https://iam.cloud.ibm.com/identity/token" \
   --header "Content-Type: application/x-www-form-urlencoded" \
   --header "Accept: application/json" \
   --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
   --data-urlencode "apikey=<apiKey>"
   

3. Rufen Sie die Tenant-ID für Ihre Instanz des Service ab. Sie finden den Wert entweder in Ihrem Service oder in den Anwendungsberechtigungsnachweisen.

4. Stellen Sie eine PUT-Anforderung an den Endpunkt /config/tokens mit Ihrer Tokenkonfiguration.

   curl -X PUT "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/tokens" \
   -H 'Content-Type: application/json' \
   -H "Authorization: Bearer <IAMToken>" \
   -d '{
      "access": {
            "expires_in": 3600
      },
      "refresh": {
            "enabled": true,
            "expires_in": 2592001
      },
      "anonymousAccess": {
            "enabled": false
      },
      "accessTokenClaims": [
            {
            "source": "roles"
            },
            {
            "source": "saml",
            "sourceClaim": "name_id",
            "destinationClaim": "id"
            }
      ],
      "idTokenClaims": [
            {
            "source": "saml",
            "sourceClaim": "attributes.uid"
            }
      ]
   }'
   

   Verstehen der Token-Konfiguration

   Variable	Beschreibung
   access: expires_in	Die Gültigkeitsdauer des Tokens. Je kleiner der Wert ist, umso höher ist der Schutz, den Sie im Fall eines Tokendiebstahls haben. Der Wert wird in Sekunden angegeben und kann eine beliebige Ganzzahl zwischen 300 und 86400 sein. Der Standardwert ist 3600.
   refresh: expires_in	Die Gültigkeitsdauer der Aktualisierungstokens. Je kleiner der Wert ist, umso höher ist der Schutz, den Sie im Fall eines Tokendiebstahls haben. Der Wert wird in Sekunden angegeben und kann eine beliebige Ganzzahl zwischen 86400 und 7776000 sein. Der Standardwert ist 2592000 (30 Tage).
   anonymousAccess	Die Gültigkeitsdauer für anonyme Token. Anonyme Tokens werden den Benutzern zugewiesen, sobald sie mit Ihrer App interagieren. Wenn sich ein Benutzer anmeldet, werden die Informationen in dem anonymen Token an das Token übertragen, das dem Benutzer zugeordnet ist. Der Wert wird in Sekunden angegeben und kann eine beliebige Ganzzahl zwischen 86400 und 7776000 sein. Der Standardwert ist 2592000 (30 Tage).
   accessTokenClaims	Ein Array mit den Objekten, die erstellt werden, wenn Claims zugeordnet werden, die sich auf Zugriffstoken beziehen. Vielleicht möchten Sie Informationen zu Rollen oder bestimmten Attributen aufnehmen, die vom ausgewählten Identitätsprovider eines Benutzers zurückgegeben werden. Hinweis: Wenn Sie bereits eine angepasste Anforderung mit dem Titel "Rollen (Roles)" von Ihrem Identitätsprovider verwenden, stellen Sie sicher, dass Sie eine Zielanforderung verwenden, um beide Werte anzuzeigen.
   idTokenClaims	Ein Array mit den Informationen, die in Token vorhanden sind, wenn Sie Identitätstoken Claims zuordnen. Abhängig von Ihrer Konfiguration können Sie auch festlegen, dass in Ihrem Identitätstoken Rollen (roles) vorhanden sein sollen.

   Sie müssen die Lebensdauer des Tokens in jeder Anforderung, die Sie machen, festlegen. Wird ein Wert nicht festgelegt, so wird der Standardwert verwendet. Jede Anpassungsanforderung überschreibt die zuvor konfigurierten Werte. Beachten Sie, dass sich die Spezifikationen für die Konfiguration der Lebensdauer in der API von denen im Service-Dashboard unterscheiden.

5. Nachdem Sie das zurückgegebene Token decodieren, sehen Sie ein Ergebnis ähnlich dem folgenden:

   {
      "sub" : "1234567890",
      "name" : "John Doe",
      "exp" : 1564566,
      "roles" : ["admin", "manager"],
      "id": "<nameIDFromSaml>",
      "attributes.uid": "<uidFromSaml>"
      ...
   }