保护前端应用程序

如果您使用的是基于浏览器的应用程序，您可以使用 Open ID Connect(OIDC) / OAuth 2.0 authorization_grant 流程来验证用户身份。 检测到未经认证的用户时，会自动将这些用户重定向到认证页面。 认证完成后，浏览器会重定向到隐式 /oidc/callback 端点，其中适配器会拦截该请求。 此时，适配器会从身份提供者那里获取令牌，然后将用户重定向回原始请求的 URL。

要查看用户会话信息（包括会话令牌），可以查看 Authorization 头。

Authorization: Bearer <accessToken> <IDToken>

您还可以使已认证的用户注销。 如以下示例所示，已认证的用户访问附加有 oidc/logout 的任何受保护端点时，该用户会注销。

https://myhost/path/oidc/logout

如果需要，可以使用刷新令牌来自动获取新的访问令牌和身份令牌，而无需用户重新认证。 如果配置的身份提供者返回刷新令牌，此令牌会持久存储在会话中，并用于在身份令牌到期时检索新令牌。

保护后端应用程序

适配器可与 OAuth 2.0 JWT Bearer 流程配合使用，通过验证 JWT Bearer 标记来保护服务 API。 Bearer 授权流程期望请求包含具有有效访问令牌和可选身份令牌的 Authorization 头。 期望的头结构为 Authorization=Bearer {access_token} [{id_token}]。 未认证的客户机会返回 HTTP 401 响应状态，其中包含获取授权所需的作用域列表。 如果令牌无效或到期，那么 API 策略将返回包含可选 error 组成部分的 HTTP 401 响应，其中显示 Www-Authenticate=Bearer scope="{scope}" error="{error}"。

有关令牌及其使用方式的更多信息，请参阅了解令牌。

定义配置

根据是要保护前端还是后端应用程序，使用下列其中一个选项来创建策略配置。

• 对于前端应用程序：需要用户认证的基于浏览器的应用程序可以配置为使用 OIDC/OAuth 2.0 认证流程。 要定义 OidcConfig CRD（包含用于支持身份提供者认证流程的客户机），请使用以下示例作为指南。

  apiVersion: "security.cloud.ibm.com/v1"
  kind: OidcConfig
  metadata:
     name:      oidc-provider-config
     namespace: sample-namespace
  spec:
     discoveryUrl: https://us-south.appid.cloud.ibm.com/oauth/v4/<tenantID>/.well-known/openid-configuration
     clientId:     <clientID>
     clientSecret: <randomlyGeneratedClientSecret>
     clientSecretRef:
           name: <nameOfKubeSecret>
           key: <keyInKubeSecret>
  

  YAML 配置文件组件说明

  字段	类型	必需	描述
  discoveryUrl	字符串	是	一个熟知端点，用于提供包含 OIDC/OAuth 2.0 配置信息的 JSON 文档。
  clientId	字符串	是	用于认证的客户机的标识。
  clientSecret	字符串	否	用于认证客户机的明文私钥。 如果没有提供，则 clientSecretRef 必须存在。
  clientSecretRef	对象	否	用于认证客户机的引用私钥。 参考文献可以代替 clientSecret。
  clientSecretRef.name	字符串	是	Kubernetes Secret 的名称，其中包含 clientSecret。
  clientSecretRef.key	字符串	是	Kubernetes Secret 中保存 clientSecret 的字段。

• 对于后端应用程序：OAuth 2.0 Bearer 令牌规范定义了一种通过使用 JSON Web 令牌（JWT） 来保护 API 的模式。 通过使用以下配置作为示例，定义一个 JwtConfig CRD，其中包含用于验证令牌签名的公用密钥资源。

  apiVersion: "security.cloud.ibm.com/v1"
  kind: JwtConfig
  metadata:
     name:      jwt-config
     namespace: sample-app
  spec:
     jwksUrl: https://us-south.appid.cloud.ibm.com/oauth/v4/<tenantID>/publickeys
  

注册应用程序端点

在 Policy CRD 中注册应用程序端点，以用于验证入局请求并强制实施认证规则。 每个 Policy 仅应用于对象所在的 Kubernetes 名称空间，并且可以指定要保护的服务、路径和方法。

apiVersion: "security.cloud.ibm.com/v1"
kind: Policy
metadata:
  name:      samplepolicy
  namespace: sample-app
spec:
  targets:
    -
      serviceName: <svcSampleApp>
      paths:
        - exact: /web/home
          method: ALL
          policies:
            - policyType: oidc
              config: <oidcProviderConfig>
              rules:
                - claim: scope
                  match: ALL
                  source: access_token
                  values:
                    - appid_default
                    - openid
                - claim: amr
                  match: ANY
                  source: id_token
                  values:
                    - cloud_directory
                    - google

        - exact: /web/user
          method: GET
          policies:
            - policyType: oidc
              config: <oidcProviderConfig>
              redirectUri: https://github.com/ibm-cloud-security/app-identity-and-access-Adapter
        - prefix: /
          method: ALL
          policies:
            -
              policyType: jwt
              config: <jwtConfig>

适配器

要查看适配器日志，可以使用 kubectl 或通过 Kubernetes 控制台从 appidentityandaccessAdapter pod 来访问相应 pod。

alias Adapter_logs="kubectl -n istio-system logs -f $(kubectl -n istio-system get pods -lapp=appidentityandaccessAdapter -o jsonpath='{.items[0].metadata.name}')"
Adapter_logs | jq

混合器

如果适配器似乎无法接收请求，请检查 Mixer 日志，确保它已成功连接到适配器。

alias mixer_logs="kubectl -n istio-system logs -f $(kubectl -n istio-system get pods -lapp=telemetry -o jsonpath='{.items[0].metadata.name}') -c mixer"
mixer_logs | jq