자체 포함된 OAuth 2.0 범위
변경 제안
PDF
자체 포함 범위는 액세스 토큰으로 전달되는 문자열입니다. 각각은 완전한 사용자 지정 역할 정의이며 ONTAP에서 액세스 결정을 내리는 데 필요한 모든 것을 포함합니다. 범위는 ONTAP 자체 내에 정의된 모든 REST 역할과 별개입니다.
범위 문자열의 형식입니다
기본 수준에서 범위는 연속된 문자열로 표시되며 콜론으로 구분된 6개의 값으로 구성됩니다. 범위 문자열에 사용되는 매개 변수는 아래에 설명되어 있습니다.
ONTAP 리터럴
범위는 리터럴 값으로 시작해야 합니다 ontap 소문자로 입력합니다. ONTAP에만 해당하는 범위를 식별합니다.
클러스터
범위가 적용되는 ONTAP 클러스터를 정의합니다. 값은 다음과 같습니다.
-
클러스터 UUID
단일 클러스터를 식별합니다.
-
별표(*)
범위가 모든 클러스터에 적용됨을 나타냅니다.
ONTAP CLI 명령을 사용할 수 있습니다 cluster identity show 클러스터의 UUID를 표시합니다. 지정하지 않으면 범위가 모든 클러스터에 적용됩니다.
역할
자체 포함된 범위에 포함된 REST 역할의 이름입니다. 이 값은 ONTAP에서 검사하거나 ONTAP에 정의된 기존 REST 역할과 일치하지 않습니다. 이 이름은 로깅에 사용됩니다.
액세스 수준
이 값은 범위에서 API 끝점을 사용할 때 클라이언트 응용 프로그램에 적용되는 액세스 수준을 나타냅니다. 아래 표에 설명된 대로 6개의 값이 있습니다.
| 액세스 수준 | 설명 |
|---|---|
없음 |
지정된 끝점에 대한 모든 액세스를 거부합니다. |
읽기 전용 |
GET를 사용하여 읽기 액세스만 허용합니다. |
read_create 를 참조하십시오 |
POST를 사용하여 새 리소스 인스턴스를 만들고 읽기 액세스를 허용합니다. |
read_modify 를 참조하십시오 |
패치를 사용하여 기존 리소스를 업데이트할 수 있을 뿐 아니라 읽기 액세스를 허용합니다. |
READ_CREATE_MODIFY을 참조하십시오 |
삭제를 제외한 모든 액세스를 허용합니다. 허용되는 작업에는 GET(읽기), POST(작성) 및 패치(업데이트)가 포함됩니다. |
모두 |
전체 액세스를 허용합니다. |
SVM
클러스터 내 SVM의 이름이 범위에 적용됩니다. * 값(별표)을 사용하여 모든 SVM을 나타냅니다.
|
이 기능은 ONTAP 9.14.1에서 완벽하게 지원되지 않습니다. SVM 매개 변수를 무시하고 별표를 자리 표시자로 사용할 수 있습니다. 를 검토합니다 "ONTAP 릴리즈 노트" 향후 SVM 지원 확인 |
REST API URI입니다
리소스 또는 관련 리소스 집합에 대한 전체 또는 부분 경로입니다. 문자열은 로 시작해야 합니다 /api. 값을 지정하지 않으면 범위가 ONTAP 클러스터의 모든 API 끝점에 적용됩니다.
범위 예
다음은 자급식 범위의 몇 가지 예입니다.
- ONTAP: *:joes-역할: read_create_modify: *:/api/cluster
-
이 역할에 할당된 사용자에게 에 대한 읽기, 생성 및 수정 액세스 권한을 제공합니다
/cluster엔드포인트.
CLI 관리 도구
ONTAP는 자체 포함된 범위를 보다 쉽게 관리할 수 있도록 CLI 명령을 제공합니다 security oauth2 scope 입력 매개 변수를 기반으로 범위 문자열을 생성합니다.
명령을 입력합니다 security oauth2 scope 은 고객 입력에 따라 두 가지 사용 사례를 가지고 있습니다.
-
문자열 범위를 지정하는 CLI 매개 변수입니다
이 버전의 명령을 사용하여 입력 매개 변수를 기반으로 범위 문자열을 생성할 수 있습니다.
-
문자열을 CLI 매개 변수로 지정합니다
이 버전의 명령을 사용하여 입력 범위 문자열을 기반으로 명령 매개 변수를 생성할 수 있습니다.
다음 예제에서는 아래 명령 예제 다음에 포함된 출력으로 범위 문자열을 생성합니다. 이 정의는 모든 클러스터에 적용됩니다.
security oauth2 scope cli-to-scope -role joes-role -access readonly -api /api/cluster
ontap:*:joes-role:readonly:*:/api/cluster