WSO2 身份服务器 - 内部角色与外部角色

Question

我们正在考虑将我们在 WSO2 中的角色临时存储在内部数据库中。

据我了解，这些内部角色存储在表 UM_HYBRID_ROLE 中。我想确认的是，在 XACML 策略、声明管理等方面，这些角色的处理方式与在外部 LDAP 中配置的角色的处理方式相同。

换句话说，我们是否可以假设绑定(bind)到内部角色的策略/声明与绑定(bind)到外部角色时的行为相同？

我应该注意 WSO2 处理内部/外部角色的方式(除了保留它们的地方)之间有什么区别吗？

谢谢，迈克

Answer 1

内部和外部角色在 API 级别被视为相同。唯一不同的是，您会看到带有内部角色的 Internal 前缀。比如说，如果您创建一个名称为 foo 的角色。它将被命名为 Internal/foo。

当谈到 XACML 时，您不想做任何事情，您可以使用相同的声明 uri 检索两种类型的角色。即 http://wso2.org/claims/role。无论用户存储(内部或外部)如何，它都会返回分配给用户的所有角色。

此外，让我再多介绍一些内部角色，

内部角色是由 Carbon 服务器内部维护的角色。这意味着，这些角色未映射到用户存储中的组。它们是在 Carbon Server 的内部数据库表中创建的。内部角色用于以下用例..

1. 当 Carbon 服务器想要在内部创建一个角色时，它总是创建一个内部角色。 Ex-“每个人”角色是一个内部角色。它由 Carbon 服务器在服务器启动时创建。因为，Carbon 服务器不能总是在用户存储中创建角色。因为无意中在协作用户存储中创建角色是不好的，并且如果协作用户存储已连接为只读模式，则 Carbon 服务器无法创建角色。

2. 如果用户存储已连接为只读模式。您不能使用 Identity Server 管理控制台或 API 将用户分配给角色。在这种情况下，您可以使用内部角色。

3. 当使用 Carbon 服务器配置了多个用户存储时，您可能需要将来自不同用户存储的用户分配给一个角色。这可以通过创建内部角色来完成。来自不同用户存储的用户可以分配给内部角色。 (因为您不能将用户从一个用户存储分配到另一个用户存储中的组)