OAuth 2.0 Bereitstellungsszenarien mit ONTAP
Änderungen vorschlagen
PDFs
Es stehen mehrere Konfigurationsoptionen zur Verfügung, wenn ein Autorisierungsserver für ONTAP definiert wird. Anhand dieser Optionen lässt sich ein für Ihre Umgebung geeigneter Autorisierungsserver mithilfe eines der verschiedenen Bereitstellungsszenarien definieren.
Zusammenfassung der Konfigurationsparameter
Es stehen mehrere Konfigurationsparameter zur Verfügung, wenn ein Autorisierungsserver für ONTAP definiert wird. Diese Parameter werden im Allgemeinen von allen administrativen Schnittstellen unterstützt.
|
Die Bezeichnung eines einzelnen Parameters oder Felds kann je nach ONTAP Verwaltungsoberfläche variieren. Um den Unterschieden in den Verwaltungsoberflächen Rechnung zu tragen, wird für jeden Parameter in der Tabelle ein einheitlicher generischer Name verwendet. Die genaue Bezeichnung für eine bestimmte Oberfläche sollte sich aus dem Kontext ergeben. |
| Parameter | Beschreibung |
|---|---|
Name |
Der Name des Autorisierungsservers, wie er in ONTAP bekannt ist. |
Anwendung |
Die interne ONTAP-Anwendung, auf die sich die Definition bezieht. Dies muss http sein. |
Issuer-URI |
Der FQDN mit Pfad, der die Site oder Organisation identifiziert, die die Token ausgibt. |
Provider-JWKS-URI |
Der FQDN mit Pfad und Dateiname, von dem ONTAP die JSON Web Key Sets bezieht, die zur Validierung der Zugriffstoken verwendet werden. |
JWKS Aktualisierungsintervall |
Das Zeitintervall, das festlegt, wie oft ONTAP die Zertifikatsinformationen von der JWKS-URI des Anbieters aktualisiert. Der Wert wird im ISO-8601-Format angegeben. |
Introspektionsendpunkt |
Der FQDN mit Pfad, den ONTAP zur Durchführung der Remote-Token-Validierung mittels Introspektion verwendet. |
Client-ID |
Der Name des Clients, wie er auf dem Autorisierungsserver definiert ist. Wenn dieser Wert angegeben wird, muss auch das zugehörige Client-Geheimnis entsprechend der Schnittstelle angegeben werden. |
Ausgehender Proxy |
Dies ermöglicht den Zugriff auf den Autorisierungsserver, wenn ONTAP sich hinter einer Firewall befindet. Die URI muss im curl-Format vorliegen. |
Lokale Rollen werden verwendet, falls vorhanden. |
Ein boolescher Wert, der angibt, ob die lokalen ONTAP Definitionen verwendet werden, einschließlich einer benannten REST-Rolle und lokaler Benutzer. |
Remote-Benutzeranspruch |
Ein alternativer Name, den ONTAP verwendet, um lokale Benutzer zuzuordnen. Das |
Zielgruppe |
Dieses Feld definiert die Endpunkte, an denen das Zugriffstoken verwendet werden kann. |
Einsatzszenarien
Im Folgenden werden mehrere gängige Bereitstellungsszenarien dargestellt. Sie sind danach geordnet, ob die Tokenvalidierung lokal durch ONTAP oder remote durch den Autorisierungsserver erfolgt. Jedes Szenario enthält eine Liste der erforderlichen Konfigurationsoptionen. Siehe "OAuth 2.0 in ONTAP bereitstellen" für Beispiele der Konfigurationsbefehle.
|
Nachdem ein Autorisierungsserver definiert wurde, lässt sich dessen Konfiguration über die ONTAP Verwaltungsoberfläche anzeigen. Beispielsweise kann der Befehl security oauth2 client show mit der ONTAP Befehlszeile verwendet werden.
|
Lokale Validierung
Die folgenden Bereitstellungsszenarien basieren darauf, dass ONTAP die Tokenvalidierung lokal durchführt.
Dies ist die einfachste Bereitstellung, die ausschließlich in sich geschlossene OAuth 2.0-Scopes verwendet. Keine der lokalen ONTAP-Identitätsdefinitionen wird verwendet. Die folgenden Parameter sind einzubeziehen:
-
Name
-
Anwendung (http)
-
Provider-JWKS-URI
-
Issuer-URI
Die Bereiche müssen außerdem auf dem Autorisierungsserver hinzugefügt werden.
Dieses Bereitstellungsszenario verwendet die in sich geschlossenen OAuth 2.0-Bereiche. Keine der lokalen ONTAP-Identitätsdefinitionen wird verwendet. Der Autorisierungsserver befindet sich jedoch hinter einer Firewall, daher ist die Konfiguration eines Proxys erforderlich. Die folgenden Parameter sind einzubeziehen:
-
Name
-
Anwendung (http)
-
Provider-JWKS-URI
-
Ausgehender Proxy
-
Issuer-URI
-
Zielgruppe
Die Bereiche müssen außerdem auf dem Autorisierungsserver hinzugefügt werden.
Dieses Bereitstellungsszenario verwendet lokale Benutzerrollen mit Standardnamenszuordnung. Der Remote-Benutzeranspruch verwendet den Standardwert sub und daher wird dieses Feld im Zugriffstoken verwendet, um den lokalen Benutzernamen abzugleichen. Der Benutzername darf maximal 40 Zeichen lang sein. Der Autorisierungsserver befindet sich hinter einer Firewall, daher ist zusätzlich die Konfiguration eines Proxys erforderlich. Die folgenden Parameter sind einzubeziehen:
-
Name
-
Anwendung (http)
-
Provider-JWKS-URI
-
Lokale Rollen verwenden, falls vorhanden (
true) -
Ausgehender Proxy
-
Emittent
Es muss sichergestellt sein, dass der lokale Benutzer in ONTAP definiert ist.
Dieses Bereitstellungsszenario verwendet lokale Benutzerrollen mit einem alternativen Benutzernamen, der einem lokalen ONTAP Benutzer zugeordnet wird. Der Autorisierungsserver befindet sich hinter einer Firewall, daher ist die Konfiguration eines Proxys erforderlich. Die folgenden Parameter sind einzubeziehen:
-
Name
-
Anwendung (http)
-
Provider-JWKS-URI
-
Lokale Rollen verwenden, falls vorhanden (
true) -
Remote-Benutzeranspruch
-
Ausgehender Proxy
-
Issuer-URI
-
Zielgruppe
Es muss sichergestellt sein, dass der lokale Benutzer in ONTAP definiert ist.
Remote-Introspektion
Die folgenden Bereitstellungskonfigurationen basieren darauf, dass ONTAP die Tokenvalidierung remote mittels Introspektion durchführt.
Dies ist eine einfache Bereitstellung basierend auf der Verwendung der in sich geschlossenen OAuth 2.0-Bereiche. Keine der ONTAP-Identitätsdefinitionen wird verwendet. Folgende Parameter sind einzuschließen:
-
Name
-
Anwendung (http)
-
Introspektionsendpunkt
-
Client-ID
-
Issuer-URI
Es ist erforderlich, auf dem Autorisierungsserver sowohl die Scopes als auch den Client und das Client Secret zu definieren.