Descripción de la correlación de reclamaciones personalizadas

Una reclamación es una declaración que una entidad hace sobre sí misma o en nombre de otra persona. Por ejemplo, si ha iniciado sesión en una aplicación utilizando un proveedor de identidad, el proveedor enviaría a la aplicación un grupo de reclamaciones o declaraciones sobre usted para que la app pueda agruparlas con información que ya conoce sobre usted. De esta forma, cuando inicie sesión, la app se configura con su información, tal y como la haya configurado.

{
  "accessTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "moderator"
    },
    {
      "source": "saml",
      "sourceClaim": "viewer",
      "destinationClaim": "reader"
    }
  ],
  "idTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "attributes.uid"
    },
    {
      "source": "saml",
      "sourceClaim": "Name",
      "destinationClaim": "firstName"
    },
    {
      "source": "saml",
      "sourceClaim": "Country"
    }
  ]
}

Configuración de señales

Con la API, puede personalizar la información que se devuelve en las señales de App ID.

Si desea configurar la duración de la señal, puede realizar los cambios rápidamente a través del panel de control del servicio. Para obtener más información, consulte Gestión de la autenticación.

1. En el terminal, ejecute el mandato siguiente para obtener una clave de API.

   ibmcloud iam api-key-create NAME [-d DESCRIPTION] [-f, --file FILE]
   

   Comprender las opciones del comando de creación de una clave API

   Opción	Descripción
   NAME	El nombre que desee dar a la clave. Por ejemplo, myKey.
   DESCRIPTION	Una descripción de la clave o de su uso. Por ejemplo, "This is my App ID API key".
   FILE	La ubicación donde desea almacenar la clave. Por ejemplo, key_file.

2. Obtención de una señal de IAM utilizando la clave de API que ha obtenido en el paso anterior.

   curl -k -X POST "https://iam.cloud.ibm.com/identity/token" \
   --header "Content-Type: application/x-www-form-urlencoded" \
   --header "Accept: application/json" \
   --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
   --data-urlencode "apikey=<apiKey>"
   

3. Obtenga el ID de arrendatario correspondiente a la instancia del servicio. Encontrará el valor en las credenciales del servicio o de la aplicación.

4. Haga una solicitud PUT al punto final /config/tokens con la configuración de la señal.

   curl -X PUT "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/tokens" \
   -H 'Content-Type: application/json' \
   -H "Authorization: Bearer <IAMToken>" \
   -d '{
      "access": {
            "expires_in": 3600
      },
      "refresh": {
            "enabled": true,
            "expires_in": 2592001
      },
      "anonymousAccess": {
            "enabled": false
      },
      "accessTokenClaims": [
            {
            "source": "roles"
            },
            {
            "source": "saml",
            "sourceClaim": "name_id",
            "destinationClaim": "id"
            }
      ],
      "idTokenClaims": [
            {
            "source": "saml",
            "sourceClaim": "attributes.uid"
            }
      ]
   }'
   

   Comprender la configuración de los tokens

   Variable	Descripción
   access: expires_in	El intervalo de tiempo durante el cual son válidas las señales de acceso. Cuanto menor sea el valor, dispondrá de más protección cuando le roben la señal. El valor se proporciona en segundos y puede ser cualquier número entero comprendido entre 300 y 86400. El valor predeterminado es 3600.
   refresh: expires_in	El intervalo de tiempo durante el cual son válidas las señales de renovación. Cuanto menor sea el valor, dispondrá de más protección cuando le roben la señal. El valor se proporciona en segundos y puede ser cualquier número entero comprendido entre 86400 y 7776000. El valor predeterminado es 2592000 (30 días).
   anonymousAccess	El intervalo de tiempo durante el cual es válida una señal anónima. Las señales anónimas se asignan a los usuarios en el momento en que empiezan a interactuar con la app. Cuando un usuario inicia sesión, la información de la señal anónima se transfiere a la señal asociada con el usuario. El valor se proporciona en segundos y puede ser cualquier número entero comprendido entre 86400 y 7776000. El valor predeterminado es 2592000 (30 días).
   accessTokenClaims	Una matriz que contiene los objetos que se crean cuando las reclamaciones relacionadas con las señales de acceso se correlacionan. Tal vez desee incluir información sobre los roles o los atributos específicos que devuelve el proveedor de identidad del usuario que haya elegido. Nota: si ya está utilizando una reclamación personalizada con el título "roles" del proveedor de identidades, asegúrese de utilizar una reclamación de destino para ver ambos valores.
   idTokenClaims	Una matriz que contiene la información que está presente en las señales cuando se correlacionan las reclamaciones con las señales de identidad. En función de su configuración, tal vez opte porque los "roles" estén en la señal de identidad.

   Debe definir la duración de la señal en cada solicitud que realice. Si no se define un valor, se utiliza el valor predeterminado. Cada solicitud de personalización modifica la configurada anteriormente. Tenga en cuenta que las especificaciones de configuración de duración son diferentes en la API que en el panel de control del servicio.

5. Después de devolver la señal y decodificarla, verá un resultado similar al del ejemplo siguiente:

   {
      "sub" : "1234567890",
      "name" : "John Doe",
      "exp" : 1564566,
      "roles" : ["admin", "manager"],
      "id": "<nameIDFromSaml>",
      "attributes.uid": "<uidFromSaml>"
      ...
   }