Ambiti

L'ambito trust Account consente a un'applicazione client sicura o riservata di ottenere un token di accesso che consente l'accesso a qualsiasi servizio che si trova nello stesso dominio di Identity senza richiedere un'associazione esplicita con i servizi di destinazione.

Per utilizzare l'ambito di attendibilità Account:

1. Assegnare il valore di Account al parametro trustScope per l'applicazione client sicura appropriata.

   Nota
   
   L'attributo trustScope di Account è denominato Tutto nella console del dominio di Identity.

   

2. Richiedere un token di accesso utilizzando il client sicuro o riservato e richiedere l'ambito urn:opc:resource:consumer::all. Il token di accesso nella risposta contiene l'audience urn:opc:resource:scope:account e l'ambito urn:opc:resource:consumer::all, che consente di accedere a qualsiasi servizio che si trova nello stesso dominio senza richiedere un'associazione esplicita con i servizi di destinazione.

Uso di ambiti con filtro

Se l'ambito consentito definito dal client è urn:opc:resource:consumer:paas::read, l'applicazione client può accedere alla risorsa in modo gerarchico se il client richiede uno degli ambiti seguenti: urn:opc:resource:consumer:paas::read o urn:opc:resource:consumer:paas:analytics::read. Tuttavia, se l'ambito richiesto è urn:opc:resource:consumer:paas:analytics::write,, al client non è consentito l'accesso alla risorsa, poiché non è uno degli ambiti consentiti definiti dall'applicazione client.

Esempi di richieste e risposte

Gli esempi riportati di seguito mostrano esempi di richiesta e risposta per le credenziali client e i flussi di concessione del proprietario della risorsa.

Esempio di richiesta di flusso delle credenziali client

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=urn:opc:resource:consumer::all' -k

Esempio di risposta

{
"access_token":"eyJ4NX....Zh3ieBlQ", 
"token_type":"Bearer", 
"expires_in":3600
}

Esempio di richiesta di flusso proprietario risorsa

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST  https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=password&scope=urn:opc:resource:consumer::all&username=admin@example.com&password=PasswordExample1'-k

Esempio di risposta

{
"access_token":"eyJ4NX...71aImeBsU",
"token_type":"Bearer", 
"expires_in":3600
}

Esempi di richieste e risposte che utilizzano un ambito completamente qualificato

Gli esempi riportati di seguito mostrano esempi di richieste e risposte che utilizzano un ambito completamente qualificato.

Esempio di richiesta

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token":"eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
} 

Esempio di richiesta di flusso del proprietario della risorsa che include la richiesta di un token di aggiornamento

Per generare un token di aggiornamento oltre al token di accesso, utilizzare l'ambito urn:opc:resource:consumer::all offline_access nella richiesta.

curl -i 
-H 'Authorization: Basic TXlUZXN0U2VydmljZV9BUFBJRDoxMGE2ODAwMC03YTYzLTQxNDItODE0Ny03MGNmMGJhMDFkYjg=' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=password&scope=urn:opc:resource:consumer::all  offline_access&username=admin@example.com&password=PasswordExample1'-k

Esempio di risposta

{
"access_token":"eyJ4...pNYM0M", 
"token_type":"Bearer", 
"expires_in":3600,
"refresh_token":"AQIDBAUi....djF9NCA=" 
}

L'ambito sicuro Tags consente a un'applicazione client sicura o riservata di ottenere un token di accesso che consente di accedere ad altre risorse in base alle tag definite.

Per utilizzare l'ambito di attendibilità Tags:

1. Assegnare il valore di Tags al parametro trustScope per consentire all'applicazione client di accedere alle tag da altre applicazioni.

   Nota
   
   L'attributo trustScope di Tags è denominato Taggato nella console del dominio di Identity.

2. Definire la coppia key:value per il parametro AllowedTags.

   Nota
   
   Questi passi presuppongono che l'applicazione risorse appropriata abbia definito coppie key:value per l'attributo Tags e che almeno una coppia key:value dell'elenco dell'attributo allowedTags dell'applicazione client corrisponda a una coppia key:value dell'attributo Tags dell'applicazione risorsa.

   

3. Richiedere un token di accesso utilizzando il client sicuro o riservato e richiedere l'ambito urn:opc:resource:consumer::all. Il token di accesso nella risposta contiene l'audience urn:opc:resource:scope:tag=<base64 encoded JSON> e l'ambito urn:opc:resource:consumer::all, che consente di accedere alle applicazioni risorsa con tag corrispondenti alle tag consentite specificate nell'applicazione client.

Uso di ambiti con filtro

Se l'ambito consentito definito dal client è urn:opc:resource:consumer:paas::read, l'applicazione client può accedere alla risorsa in modo gerarchico se il client richiede uno degli ambiti seguenti: urn:opc:resource:consumer:paas::read o urn:opc:resource:consumer:paas:analytics::read. Tuttavia, se l'ambito richiesto è urn:opc:resource:consumer:paas:analytics::write,, al client non è consentito l'accesso alla risorsa, poiché non è uno degli ambiti consentiti definiti dall'applicazione client.

Esempi di richieste e risposte

Gli esempi riportati di seguito mostrano esempi di richiesta e risposta per il flusso di credenziali client che utilizza l'ambito urn:opc:resource:consumer::all.

Esempio di richiesta

curl -i
-H 'Authorization: Basic MjA3Mz....zllNjI2' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://tenant101.idcs.internal.oracle.com:8943/oauth2/v1/token'
-d 'grant_type=client_credentials&scope=urn:opc:resource:consumer::all'

Esempio di risposta

{
"access_token""eyJ4NX....ZbDtAw", 
"token_type":"Bearer", "expires_in":3600
}

Gli esempi riportati di seguito mostrano esempi di richiesta e risposta per il flusso di credenziali client che utilizza un ambito completamente qualificato.

Esempio di richiesta

curl -i
-H 'Authorization: Basic MzRjYz....Q3OWVk' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token'
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token""eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
} 

L'ambito trust Explicit definisce l'ambito trust solo per i servizi in cui esiste un'associazione esplicita tra il client e il servizio di destinazione.

Non è necessario eseguire alcuna operazione per utilizzare l'ambito sicuro Explicit poiché si tratta dell'ambito predefinito assegnato all'applicazione client sicura e riservata. Per utilizzare le opzioni Account o Tags, è necessario aggiornare l'applicazione client con il valore trustScope di Account o Tags.

Vedere Utilizzo dell'ambito sicuro del conto e Utilizzo dell'ambito sicuro delle tag.

Esempi di richieste e risposte

Gli esempi di richiesta e risposta mostrano il flusso di credenziali client utilizzando un ambito completamente qualificato.

Esempio di richiesta

curl -i 
-H 'Authorization: Basic MzRjYz....Q3OWVk' 
-H 'Content-Type: application/x-www-form-urlencoded; charset=utf-8' 
--request POST 'https://<domainURL>/oauth2/v1/token' 
-d 'grant_type=client_credentials&scope=http://abccorp1.com/scope1'

Esempio di risposta

{
"access_token""eyJ4NXzF.....rT5SH7sUw", 
"token_type":"Bearer",
"expires_in":3600 
}

L'ambito trust Explicit definisce l'ambito trust solo per i servizi in cui esiste un'associazione esplicita tra il client e il servizio di destinazione. È possibile specificare più ambiti appartenenti a risorse diverse in una singola richiesta di autorizzazione o richiesta di token e ottenere più token di accesso in cambio di ognuno dei quali contenente gli ambiti per ogni risorsa.

Per ulteriori informazioni sugli ambiti sicuri espliciti, vedere Utilizzo dell'ambito sicuro esplicito (specifico).

Esempi di richieste e risposte

Gli esempi di richiesta e risposta mostrano il flusso di credenziali client utilizzando un ambito completamente qualificato.

Esempio di richiesta

https://<domainURL>/oauth2/v1/authorize?
      client_id=<client-id>&
      response_type=code&
      redirect_uri=<redirect-url>&
      scope=http://abccorp.com/scope1 http://123corp.com/scope1 openid urn:opc:resource:multiresourcescope

curl -i
-H 'Authorization: Basic MzgzZTU4Z….NTM3YjFm' \
--request POST 'https://<domainURL>/oauth2/v1/token' \
-d 'grant_type=authorization_code' \
-d 'code=AgAgYjc1MzgzNWM2NGQxNDA5…YcxU_XdtfLWXUp1Vn4a5uIHiOn4='

curl -i
-H 'Authorization: Basic MzgzZTU4Z….NTM3YjFm' \
--request POST 'https://<domainURL>/oauth2/v1/token' \
-d 'grant_type=client_credentials' \
-d 'scope=http://abccorp.com/scope1 http://123corp.com/scope1 urn:opc:resource:multiresourcescope

Esempio di risposta

{
    "tokenResponses":[
        {
            "access_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1Z.....1iZDc2NjFjMWJiZjA0OGNhOTkyMWNlN2Q4MThkNDY0YSIsImp0aSI6Ijg53ZFOT2FxyZYjocCnm1b1w",
            "token_type": "Bearer",
            "expires_in": 3600
        },
        {
            "access_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1Z.....HplcmtUNjdsU19SjZlYjc5ZDgzMTVhYjQ0ODBiNDlkMjU3NzdkZWMzMDE2In0.k4QShMbO5aPGmYyKo",
            "token_type": "Bearer",
            "expires_in": 3000
        }
    ],
    "id_token": "eyJ4NXQjUzI1NiI6InZBV3RzNEo1clE1ZHplc.....mtUNjdsU19SYjhQTWoYDSVhTUmDl8zK3a9vk7cowIW2hr3smwtcsvfsbrewwtbnCrGerp7v4CUcVYlSw" 
}