基於SAML / XACML的WSO2 Identity Server訪問控制

Question

我需要使用以下配置來保護SOAP Web服務（基於Axis2）：

1. 客戶端嘗試使用該服務
2. 客戶端被重定向到身份驗證服務器以進行身份​​驗證
3. 如果客戶端正確進行身份驗證，則身份驗證服務器會向客戶端提供具有其屬性（基本上是角色）的SAML令牌
4. 有一個XACML策略（客戶端只能在具有適當角色的情況下使用Web服務提供的操作），該策略是根據SAML令牌中包含的角色進行評估的。

所以我考慮過使用WOR2 Identity Server和rampart（我還需要WS-Security進行加密和簽名）。 有可能這樣做嗎？ 你能建議我怎么樣？

Answer 1

您可以使用WSO2 IS STS（WS- *）或SAML的Web瀏覽器SSO。 取決於應用程序的性質（基於Web瀏覽器或不基於Web瀏覽器），您可以選擇上述任何一種方法。 您可以從SAML響應中獲取用戶角色。

但是，如果您使用的是XACML，則無需通過SAML獲取用戶角色。 只需在WSO2 IS中創建一個策略（具有所需的角色和其他條件）。 然后創建一個PEP模塊來驗證服務請求。 WSO2 IS將從LDAP / userstore獲取用戶名和讀取用戶角色並進行驗證。