telefonicaiot/fiware-pep-steelskin

fiware-pep-steelskin

![FIWARE Security]([] ![License: APGL]([] ![Quay badge]([]
https://github.com/telefonicaid/fiware-pep-steelskin/workflows/CI/badge.svg](https://github.com/telefonicaid/fiware-pep-steelskin/actions?query=workflow%3ACI) ![Coverage Status]([] !Status

目录

• 概述
• 部署
• 使用方法
• 管理
• 配置
• 带访问控制的API
• 从请求确定Context Broker操作的规则
• 从请求确定Perseo操作的规则
• 从请求确定Keypass访问控制操作的规则
• 为其他组件自定义PEP代理
• 许可证
• 开发文档

概述

部署

npm install --production

docker run -p 11211:11211 -p 1026:1026 -e LOG_LEVEL=DEBUG -e AUTHENTICATION_HOST=<Keystone-host> -e ACCESS_HOST=<Access-control-host> -e TARGET_HOST=<Orion-host> telefonicaiot/fiware-pep-steelskin

console
docker run --name pep -e PM2_ENABLED=true -d fiware/fiware-pep-steelskin

console
docker run --name pep -e INSPECT_ENABLED=true -d fiware/fiware-pep-steelskin

nohup bin/pep-proxy.js &> pep-proxy.log&

service pepProxy start

使用方法

bin/pep-proxy.js

PEP代理工作后，可用于对受保护组件（例如Orion Context Broker）实施身份验证和授权。为了实施这两个操作，PEP代理必须连接到https://github.com/ging/fi-ware-idm%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%92%8Chttps://github.com/telefonicaid/fiware-keypass%E6%9C%8D%E5%8A%A1%E5%99%A8%E3%80%82%E4%B8%8B%E4%B8%80%E8%8A%82%E5%B0%86%E5%B1%95%E7%A4%BA%E8%BF%99%E4%B8%A4%E4%B8%AA%E8%BF%87%E7%A8%8B%E7%9A%84%E4%B8%80%E4%BA%9B%E7%A4%BA%E4%BE%8B%E3%80%82

请注意，为了通过访问控制授权请求，请求必须包含以下所有头：

• x-auth-token：应包含由IDM生成的有效用户令牌。
• fiware-service：应包含在IDM中创建的服务名称，用户必须有权访问该服务。
• fiware-servicepath：应包含子服务的路径，以斜杠'/'符号开头。

IDM和访问控制系统使用这些头来做出关于请求的决策，因此如果缺少任何一个，请求将不会进一步处理，并将被拒绝，返回400 HTTP错误代码。有关返回错误的详细说明，请参阅API错误代码。

代理也可以在仅身份验证模式下工作（使用config.access.disable标志），在这种情况下，fiware-service和fiware-servicepath头可以标记为可选，或无论如何检查其有效性（由config.authentication.checkHeaders标志控制）。对于执行授权过程的PEP代理，无法禁用头检查。

身份验证

身份验证过程基于OAuth v2令牌。PEP代理期望所有请求都有一个x-auth-token头，其中包含来自IDM的有效访问令牌。所有没有此要求的请求都将被拒绝，返回401错误。

PEP代理目前支持两种可能的身份验证机构：Keyrock IdM和Openstack Keystone。以下部分显示如何使用每种身份验证技术检索令牌。可以使用config.authentication.module选项配置模块。

Keyrock IdM

为了获取要随请求发送的访问令牌，用户可以向IDM发送请求，包含其用户和密码（此处显示为curl请求）：

curl -i --user <serverUser>:<serverPassword> -X POST -H "Content-Type: application/x-www-form-urlencoded" https://<idmHostName>/oauth2/token -d 'grant_type=password&username=<theUserName>&password=<theUserPassword>'

如果用户和密码正确，响应将如下所示：

{
    "access_token":"O-OqiBR1AbZk7qfyidF3AwMeBY253xYEpUdkv",
    "refresh_token":"Ny0OwE19230QfftxXYGwwgOLafa5v2xnI5t6HWdQ",
    "token_type":"bearer",
    "expires_in":2591999
}

access_token字段包含所需的令牌。

还必须使用它为每个用户分配角色。有关角色创建和分配的详细信息，请查看IDM API。

Keystone

为了获取其访问令牌，用户可以向Keystone发送以下请求：

curl http://localhost:5000/v3/auth/tokens \
    -s \
    -i \
    -H "Content-Type: application/json" \
    -d '
{
    "auth": {
        "identity": {
            "methods": [
                "password"
            ],
            "password": {
                "user": {
                    "domain": {
                        "name": "SmartCity"
                    },
                    "name": "alice",
                    "password": "password"
                }
            }
        }
    }
}'

令牌可以在响应的X-Subject-Token头中找到：

X-Subject-Token: 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-mdwz6Asbo7X9hbtljy1ml9gGcuMf6vX4tycx4goRyMARPS7YKROd0evZtnYArIyx0IrmwDaqodwp8BxBCxFgHRZtCwzHvZFEaUcClydQq7HJvBfTgTwH4v1aJkMyK8wLMP-CYyiZSfCIWPVnoB9I3P56jeKHkmcryYLgT2I-AwDBj1zd9HPzUjyQuNj5rCMkJjvz-A9-hef6AMMZuYPMIYdkei+deq86O1qFuo7PpO2SA7QWkqjcsKs9v+myvHhLrBre9GLP2hP1rc4D67lSL2XB1UY20mc6FNIVIErxT0DOSXltXQ==
Vary: X-Auth-Token
Content-Type: application/json
Content-Length: 287
Date: Fri, 10 Oct 2014 10:50:49 GMT

{
  "token": {
    "issued_at": "2014-10-10T10:50:49.532542Z",
    "extras": {},
    "methods": [
      "password"
    ],
    "expires_at": "2014-10-10T11:50:49.532491Z",
    "user": {
      "domain": {
        "id": "f7a5b8e303ec43e8a912fe26fa79dc02",
        "name": "SmartValencia"
      },
      "id": "5e817c5e0d624ee68dfb7a72d0d31ce4",
      "name": "alice"
    }
  }
}

有关用户和角色创建的详细信息，请查看Keystone API。

授权

用户通过身份验证后，PEP代理将向访问控制询问其权限。为了使请求被接受，至少有一个规则必须匹配请求信息和用户角色。

规则在XACML中定义。特定规则将取决于每个案例，并由授权设计者决定。以下文档显示了针对Context Broker用例解释的典型规则：

<Policy xsi:schemaLocation="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17
    [***]"
        PolicyId="policy03"
        RuleCombiningAlgId="urn:oasis:names:tc:xacml:3.0:rule-combining-algorithm:deny-unless-permit"
        Version="1.0" xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17"
        xmlns:xsi="[***]">

  <Target>
    <AnyOf>
      <AllOf>
        <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-regexp-match">
          <AttributeValue
              DataType="[***]"
              >frn:contextbroker:551:833:.*</AttributeValue>
          <AttributeDesignator
              AttributeId="urn:oasis:names:tc:xacml:1.0:resource:resource-id"
              DataType="[***]"
              MustBePresent="true"
              Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" />
        </Match>
      </AllOf>
    </AnyOf>
  </Target>

  <Rule RuleId="policy03rule01" Effect="Permit