使用Okta实施RBAC

如何解决使用Okta实施RBAC

当前，我们的Spring Boot应用程序使用okta登录。有必要为该应用程序实现RBAC，因此我试图查看我是否可以利用okta本身将用户映射到特定角色。

我想实现标准的RBAC模型，在该模型中，我将映射一个角色下的多个权限，并将这些角色与用户相关联。基本上，它涉及3级权限>角色>用户。

但是在okta中，我看不到映射角色和权限的标准方法。 RBAC是通过创建组并将组与用户相关联来实现的，这是两个级别。并且需要将组添加为自定义声明。

如何在okta中实现标准的RBAC映射（权限>角色>用户），或者需要在IDP提供程序之外进行处理。

谢谢。

解决方法

当您详细了解角色和权限时，数据倾向于特定于域并且经常更改。我建议不要尝试在授权服务器中对其进行管理。

可以让您完全控制声明的一种设计模式是形成一个自定义AuthenticationPrincipal，其中包括来自应用程序数据库的角色或权限。

如果对此模式感兴趣，请参阅我的以下资源：

• Custom Claims Blog Post
• Java Custom Claims Code
• How to run Java Code Sample

,

可能的解决方案：

您可以将范围（访问令牌中的 scp）设为您的权限。以下是步骤：

1. 在您的授权服务器中，创建您的自定义范围（权限）并将它们设置为默认范围（这是必要的）。 例如创建 2 个默认范围：

books.read (default=true)
books.write (default=true)

2. 转到授权服务器中的访问策略，如果没有定义，则创建一个。

3. 在访问策略页面中创建访问策略规则，这些规则将是您在组和范围之间的映射。

4. 在令牌预览选项卡中测试，这里的技巧是将范围字段留空，以便授权服务器可以返回为用户设置的默认范围，如 Okta 所述：

当客户端在令牌请求中省略范围参数时，将在访问令牌中返回默认范围，前提是该范围被允许作为访问策略规则的一部分。

5. 现在在您的应用程序中请求授权代码时，请确保范围查询参数为空。

6. 根据您使用的库，如果默认情况下他们希望始终返回 id_token，您可能会遇到一些问题，但您可能能够对其进行自定义。例如：https://github.com/okta/okta-auth-js/issues/827

解决方案限制：

如第 4 步和第 5 步所述，我们省略了范围查询参数，这意味着只会返回我们为用户或其组分配的自定义范围，因为 Okta 预定义的基本范围，例如 {{1 }},profile,openid ... 不会返回。这也意味着我们将跳过需要 email 范围的 OIDC，因此不会返回 openid 而只有 id_token 会。因此，此解决方案假定您不需要 Okta 预定义的任何基本范围。

如果您需要任何基本范围

如限制中所述，该解决方案假定您不需要 Okta 预定义的任何基本范围。但如果你这样做，那么下面是一个在这种情况下有效但不是那么好的解决方案。

在oauth流程中请求授权码时，需要发送两次请求

第一个：省略作用域查询参数，返回默认作用域。

第二个：将从第一个请求返回的返回范围附加到您想要的基本范围列表中，例如 access_token、openid、'email`。所以你会发送类似（已经编码）

profile

免责声明：
可能不推荐上述解决方案，但它有效。如果有人发现上述解决方案有任何安全问题，请在评论中留言。