如何在WSO2 IS的XACML策略中使用client_ip和request_uri

Question

我們將WSO2 IS用作我們解決方案的身份總線。 我們在WSO2 ESB創建REST API以實現我們的集成，並在其中使用OAuth中介程序來保護我們的API。 在WSO2 IS中，我們將服務提供商創建為sp1並對其應用XACML策略。 我想創建XACML策略，以僅在client_ip is xxx.xxx.xxx.xxx且request URI is http://wso2ESB.uri/sampleApi/app且method is GET時才允許傳入請求。

請幫助我在WSO2 IS中制定此XACML策略。

Answer 1

當前，WSO2 Identity Server僅支持針對oauth2 / oidc服務提供者的基於范圍的XACML策略評估，其中沒有開箱即用的功能來針對client_ip，請求URI，HTTP方法評估策略。 解決這種情況的一種方法是，無論使用oauth介體，您都可以編寫自定義類介體來攔截請求（PEP）並調用EntitlementService來對Identity Server中的XACML PDP評估請求。 在自定義類介體中，您可以編寫必要的邏輯以提取XACML請求client_ip，請求URI，HTTP方法等的必要信息。

[1] https://docs.wso2.com/display/IS570/Validating+the+Scope+of+OAuth+Access+Tokens+using+XACML+Policies