Descrizione dell'associazione delle attestazioni personalizzate

Un'attestazione è una dichiarazione che un'entità fa su se stessa o per conto di qualcun altro. Ad esempio, se hai effettuato l'accesso in un'applicazione utilizzando un provider di identità, il provider invierà all'applicazione un gruppo di attestazioni o dichiarazioni sul tuo conto per consentirle di unirle alle informazioni che ti riguardano a essa già note. In questo modo, quando esegui l'accesso, l'applicazione viene configurata con le tue informazioni, nel modo in cui l'hai configurata.

{
  "accessTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "moderator"
    },
    {
      "source": "saml",
      "sourceClaim": "viewer",
      "destinationClaim": "reader"
    }
  ],
  "idTokenClaims": [
    {
      "source": "saml",
      "sourceClaim": "attributes.uid"
    },
    {
      "source": "saml",
      "sourceClaim": "Name",
      "destinationClaim": "firstName"
    },
    {
      "source": "saml",
      "sourceClaim": "Country"
    }
  ]
}

Configurazione dei token

Con l'API, puoi personalizzare le informazioni restituite nei tuoi token App ID.

Se vuoi configurare la durata del tuo token, puoi apportare velocemente le modifiche tramite il dashboard del servizio. Per ulteriori informazioni, vedi Gestione dell'autenticazione.

1. Nel terminale, esegui questo comando per ottenere una chiave API.

   ibmcloud iam api-key-create NAME [-d DESCRIPTION] [-f, --file FILE]
   

   Comprendere le opzioni del comando di creazione di una chiave API

   Opzione	Descrizione
   NAME	Il nome che vuoi dare alla tua chiave. Ad esempio, myKey.
   DESCRIPTION	Una descrizione della chiave o del suo utilizzo. Ad esempio, "This is my App ID API key".
   FILE	L'ubicazione dove vuoi memorizzare la tua chiave. Ad esempio, key_file.

2. Ottieni un token IAM utilizzando la chiave API che hai ottenuto nel passo precedente.

   curl -k -X POST "https://iam.cloud.ibm.com/identity/token" \
   --header "Content-Type: application/x-www-form-urlencoded" \
   --header "Accept: application/json" \
   --data-urlencode "grant_type=urn:ibm:params:oauth:grant-type:apikey" \
   --data-urlencode "apikey=<apiKey>"
   

3. Ottieni l'ID tenant per la tua istanza del servizio. Puoi trovare il valore nelle tue credenziali del servizio o dell'applicazione.

4. Esegui una richiesta PUT all'endpoint /config/tokens con la tua configurazione del token.

   curl -X PUT "https://<region>.appid.cloud.ibm.com/management/v4/<tenantID>/config/tokens" \
   -H 'Content-Type: application/json' \
   -H "Authorization: Bearer <IAMToken>" \
   -d '{
      "access": {
            "expires_in": 3600
      },
      "refresh": {
            "enabled": true,
            "expires_in": 2592001
      },
      "anonymousAccess": {
            "enabled": false
      },
      "accessTokenClaims": [
            {
            "source": "roles"
            },
            {
            "source": "saml",
            "sourceClaim": "name_id",
            "destinationClaim": "id"
            }
      ],
      "idTokenClaims": [
            {
            "source": "saml",
            "sourceClaim": "attributes.uid"
            }
      ]
   }'
   

   Comprendere la configurazione dei token

   Variabile	Descrizione
   access: expires_in	Per quanto tempo sono validi i token di accesso. Più piccolo è il valore e maggiore è la protezione che hai in caso di furto del token. Il valore viene fornito in secondi e può essere un numero intero qualsiasi nell'intervallo 300 e 86400. Il valore predefinito è 3600.
   refresh: expires_in	Per quanto tempo sono validi i token di aggiornamento. Più piccolo è il valore e maggiore è la protezione che hai in caso di furto del token. Il valore viene fornito in secondi e può essere un numero intero qualsiasi nell'intervallo 86400 e 7776000. Il valore predefinito è 2592000 (30 giorni).
   anonymousAccess	Per quanto tempo è valido un token anonimo. I token anonimi vengono assegnati agli utenti nel momento in cui iniziano ad interagire con la tua applicazione. Quando un utente accede, le informazioni nel token anonimo vengono poi trasferite al token associato all'utente. Il valore viene fornito in secondi e può essere un numero intero qualsiasi nell'intervallo 86400 e 7776000. Il valore predefinito è 2592000 (30 giorni).
   accessTokenClaims	Un array che contiene gli oggetti creati quando vengono associate le attestazioni correlate ai token di accesso. Potresti voler includere le informazioni suoi ruoli o sugli specifici attributi restituiti dal provider di identità di un utente preferito. Nota: se si sta già utilizzando una rivendicazione personalizzata con il titolo "ruoli" dal proprio fornitore di identità, assicurarsi di utilizzare una rivendicazione di destinazione per vedere entrambi i valori.
   idTokenClaims	Un array che contiene le informazioni che sono presenti nei token quando associ le intestazioni ai token di identità. A seconda della tua configurazione, potresti anche scegliere di avere i ruoli "("roles") presenti nel tuo token di identità.

   Devi impostare il ciclo di vita del token in ogni richiesta che fai. Se non viene impostato un valore, viene utilizzato il valore predefinito. Ogni richiesta di personalizzazione sovrascrive ciò che era precedentemente configurato. Tieni presente che le specifiche della configurazione del ciclo di vita sono diverse nell'API rispetto a come sono nel dashboard del servizio.

5. Dopo che il token è stato restituito e che tu lo hai decodificato, vedi un risultato simile al seguente esempio:

   {
      "sub" : "1234567890",
      "name" : "John Doe",
      "exp" : 1564566,
      "roles" : ["admin", "manager"],
      "id": "<nameIDFromSaml>",
      "attributes.uid": "<uidFromSaml>"
      ...
   }