基于SAML / XACML的WSO2 Identity Server访问控制

Question

我需要使用以下配置来保护SOAP Web服务（基于Axis2）：

1. 客户端尝试使用该服务
2. 客户端被重定向到身份验证服务器以进行身份​​验证
3. 如果客户端正确进行身份验证，则身份验证服务器会向客户端提供具有其属性（基本上是角色）的SAML令牌
4. 有一个XACML策略（客户端只能在具有适当角色的情况下使用Web服务提供的操作），该策略是根据SAML令牌中包含的角色进行评估的。

所以我考虑过使用WOR2 Identity Server和rampart（我还需要WS-Security进行加密和签名）。 有可能这样做吗？ 你能建议我怎么样？

Answer 1

您可以使用WSO2 IS STS（WS- *）或SAML的Web浏览器SSO。 取决于应用程序的性质（基于Web浏览器或不基于Web浏览器），您可以选择上述任何一种方法。 您可以从SAML响应中获取用户角色。

但是，如果您使用的是XACML，则无需通过SAML获取用户角色。 只需在WSO2 IS中创建一个策略（具有所需的角色和其他条件）。 然后创建一个PEP模块来验证服务请求。 WSO2 IS将从LDAP / userstore获取用户名和读取用户角色并进行验证。