Ambiti

L'ambito sicuro Account consente a un'applicazione client sicura o riservata di ottenere un token di accesso che fornisce l'accesso a qualsiasi servizio che si trova nello stesso dominio di Identity senza richiedere l'associazione esplicita con i servizi di destinazione.

Per utilizzare l'ambito sicuro Account:

1. Assegnare il valore Account al parametro trustScope per l'applicazione client sicura appropriata.

   Nota
   
   L'attributo trustScope di Account è denominato Tutto nella console del dominio di Identity.

   

2. Richiedere un token di accesso utilizzando il client sicuro o riservato e richiedere l'ambito urn:opc:resource:consumer::all. Il token di accesso nella risposta contiene l'audience urn:opc:resource:scope:account e l'ambito urn:opc:resource:consumer::all, che consente di accedere a uno qualsiasi dei servizi che si trovano nello stesso dominio senza richiedere un'associazione esplicita con i servizi di destinazione.

Utilizzo di ambiti con filtro

Se l'ambito consentito definito dal client è urn:opc:resource:consumer:paas::read, l'applicazione client può accedere alla risorsa in modo gerarchico se il client richiede uno dei seguenti ambiti: urn:opc:resource:consumer:paas::read o urn:opc:resource:consumer:paas:analytics::read. Tuttavia, se l'ambito richiesto è urn:opc:resource:consumer:paas:analytics::write,, al client non è consentito l'accesso alla risorsa, poiché non è uno degli ambiti consentiti definiti dall'applicazione client.

Esempi di richieste e risposte

Gli esempi riportati di seguito mostrano gli esempi di richiesta e risposta per le credenziali client e i flussi di concessione del proprietario della risorsa.

Esempio di richiesta di flusso credenziali client

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=urn:opc:resource:consumer::all' -k

Esempio di risposta

{
"access_token":"eyJ4NX....Zh3ieBlQ", 
"token_type":"Bearer", 
"expires_in":3600
}

Esempio di richiesta di flusso proprietario risorsa

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST  https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=password&scope=urn:opc:resource:consumer::all&username=admin@example.com&password=PasswordExample1'-k

Esempio di risposta

{
"access_token":"eyJ4NX...71aImeBsU",
"token_type":"Bearer", 
"expires_in":3600
}

Esempi di richieste e risposte mediante un ambito completamente qualificato

Gli esempi riportati di seguito mostrano esempi di richieste e risposte che utilizzano un ambito completamente qualificato.

Esempio di richiesta

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token":"eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
} 

Esempio di richiesta di flusso proprietario risorsa che include la richiesta di un token di aggiornamento

Per generare un token di aggiornamento oltre al token di accesso, utilizzare l'ambito urn:opc:resource:consumer::all offline_access nella richiesta.

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=password&scope=urn:opc:resource:consumer::all  offline_access&username=admin@example.com&password=PasswordExample1'-k

Esempio di risposta

{
"access_token":"eyJ4...pNYM0M", 
"token_type":"Bearer", 
"expires_in":3600,
"refresh_token":"AQIDBAUi....djF9NCA=" 
}

L'ambito sicuro Tags consente a un'applicazione client sicura o riservata di ottenere un token di accesso che fornisce l'accesso ad altre risorse in base alle tag definite.

Per utilizzare l'ambito sicuro Tags:

1. Assegnare il valore Tags al parametro trustScope per consentire all'applicazione client di accedere alle tag da altre applicazioni.

   Nota
   
   L'attributo trustScope di Tags è denominato Contrassegnato nella console del dominio di Identity.

2. Definire la coppia key:value per il parametro AllowedTags.

   Nota
   
   Questi passi presuppongono che l'applicazione risorsa appropriata abbia definito coppie key:value per l'attributo Tags e che almeno una coppia key:value dell'elenco dell'attributo allowedTags dell'applicazione client corrisponda a una coppia key:value dell'attributo Tags dell'applicazione risorsa.

   

3. Richiedere un token di accesso utilizzando il client sicuro o riservato e richiedere l'ambito urn:opc:resource:consumer::all. Il token di accesso nella risposta contiene l'audience urn:opc:resource:scope:tag=<base64 encoded JSON> e l'ambito urn:opc:resource:consumer::all, che consente di accedere alle applicazioni risorsa con tag corrispondenti alle tag consentite specificate nell'applicazione client.

Utilizzo di ambiti con filtro

Se l'ambito consentito definito dal client è urn:opc:resource:consumer:paas::read, l'applicazione client può accedere alla risorsa in modo gerarchico se il client richiede uno dei seguenti ambiti: urn:opc:resource:consumer:paas::read o urn:opc:resource:consumer:paas:analytics::read. Tuttavia, se l'ambito richiesto è urn:opc:resource:consumer:paas:analytics::write,, al client non è consentito l'accesso alla risorsa, poiché non è uno degli ambiti consentiti definiti dall'applicazione client.

Esempi di richieste e risposte

Gli esempi riportati di seguito mostrano esempi di richiesta e risposta per il flusso di credenziali client utilizzando l'ambito urn:opc:resource:consumer::all.

Esempio di richiesta

curl -i
-H 'Authorization: Basic MjA3Mz....zllNjI2' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://tenant101.idcs.internal.oracle.com:8943/oauth2/v1/token'
-d 'grant_type=client_credentials&scope=urn:opc:resource:consumer::all'

Esempio di risposta

{
"access_token""eyJ4NX....ZbDtAw", 
"token_type":"Bearer", "expires_in":3600
}

Gli esempi riportati di seguito mostrano esempi di richiesta e risposta per il flusso di credenziali client utilizzando un ambito completamente qualificato.

Esempio di richiesta

curl -i
-H 'Authorization: Basic MzRjYz....Q3OWVk' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token'
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token""eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
} 

L'ambito attendibile Explicit definisce l'ambito attendibile solo per i servizi in cui esiste un'associazione esplicita tra il client e il servizio di destinazione.

Non è necessario eseguire alcuna operazione per utilizzare l'ambito sicuro Explicit perché si tratta dell'impostazione predefinita assegnata all'applicazione client sicura e riservata. Per utilizzare l'opzione Account o Tags, è necessario aggiornare l'applicazione client con il valore trustScope Account o Tags.

Vedere Uso dell'ambito sicuro del conto e Uso dell'ambito sicuro delle tag.

Esempi di richieste e risposte

Gli esempi di richiesta e risposta mostrano il flusso delle credenziali client utilizzando un ambito completamente qualificato.

Esempio di richiesta

curl -i 
-H 'Authorization: Basic MzRjYz....Q3OWVk' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token""eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
}

L'ambito attendibile Explicit definisce l'ambito attendibile solo per i servizi in cui esiste un'associazione esplicita tra il client e il servizio di destinazione. È possibile specificare più ambiti appartenenti a risorse diverse in una singola richiesta di autorizzazione o richiesta di token e ottenere più token di accesso in cambio di ognuno di essi contenente gli ambiti per ogni risorsa.

Vedere Uso dell'ambito sicuro esplicito (specifico) per ulteriori informazioni sugli ambiti sicuri espliciti.

Esempi di richieste e risposte

Gli esempi di richiesta e risposta mostrano il flusso delle credenziali client utilizzando un ambito completamente qualificato.

Esempio di richiesta

https://<domainURL>/oauth2/v1/authorize?
      client_id=<client-id>&
      response_type=code&
      redirect_uri=<redirect-url>&
      scope=http://abccorp.com/scope1 http://123corp.com/scope1 openid urn:opc:resource:multiresourcescope

curl -i
-H 'Authorization: Basic MzgzZTU4Z….NTM3YjFm' \
--request POST 'https://<domainURL>/oauth2/v1/token' \
-d 'grant_type=authorization_code' \
-d 'code=AgAgYjc1MzgzNWM2NGQxNDA5…YcxU_XdtfLWXUp1Vn4a5uIHiOn4='

curl -i
-H 'Authorization: Basic MzgzZTU4Z….NTM3YjFm' \
--request POST 'https://<domainURL>/oauth2/v1/token' \
-d 'grant_type=client_credentials' \
-d 'scope=http://abccorp.com/scope1 http://123corp.com/scope1 urn:opc:resource:multiresourcescope

Esempio di risposta

{
    "tokenResponses":[
        {
            "access_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1Z.....1iZDc2NjFjMWJiZjA0OGNhOTkyMWNlN2Q4MThkNDY0YSIsImp0aSI6Ijg53ZFOT2FxyZYjocCnm1b1w",
            "token_type": "Bearer",
            "expires_in": 3600
        },
        {
            "access_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1Z.....HplcmtUNjdsU19SjZlYjc5ZDgzMTVhYjQ0ODBiNDlkMjU3NzdkZWMzMDE2In0.k4QShMbO5aPGmYyKo",
            "token_type": "Bearer",
            "expires_in": 3000
        }
    ],
    "id_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1ZHplc.....mtUNjdsU19SYjhQTWoYDSVhTUmDl8zK3a9vk7cowIW2hr3smwtcsvfsbrewwtbnCrGerp7v4CUcVYlSw" 
}