- Tutorial de PF27: Configura ámbitos de OAuth y organiza los permisos de los clientes en PingFederate.
- Concepto principal: Un ámbito limita los derechos de acceso representados por una solicitud de autorización o un token.
- Tipos de ámbitos: Usa valores estáticos para permisos fijos y valores dinámicos para patrones de recursos variables.
- Práctica recomendada: Mantén claramente separados los ámbitos comunes, exclusivos, agrupados y predeterminados.
- Siguiente paso: Prueba el comportamiento de los ámbitos durante el flujo de código de autorización y la configuración del cliente.
Tutorial de PF27: comprensión de la gestión de ámbitos
El material del tutorial de PF27 se centra en la gestión de ámbitos en PingFederate y en su función dentro de la autorización de OAuth. Un ámbito representa un subconjunto de derechos de acceso concedidos a un cliente, propietario del recurso o solicitud de autorización delegada. En lugar de proporcionar a cada cliente un acceso amplio, los administradores pueden definir permisos específicos, como el acceso a la dirección, al perfil o a acciones administrativas.
Aspectos destacados del video:
- Ubicaciones de la gestión de ámbitos en la consola de administración de PingFederate.
- Diferencias entre ámbitos comunes, exclusivos, agrupados y predeterminados.
- Ejemplos de ámbitos estáticos y dinámicos para solicitudes de OAuth.
- Cómo influyen los valores de los ámbitos en el consentimiento y el comportamiento de autorización.
En términos prácticos, el valor del ámbito acompaña a la solicitud de autorización. PingFederate evalúa ese valor comparándolo con los ámbitos configurados para el cliente y el servidor de autorización. Los permisos resultantes ayudan a determinar qué puede solicitar el cliente y qué puede aprobar el usuario.
Define los ámbitos en torno a permisos empresariales, no a botones individuales de la interfaz. Un modelo de ámbitos claro es más fácil de auditar, probar y mantener en varios clientes.
Configuración de ámbitos estáticos y dinámicos
PingFederate admite ámbitos estáticos y dinámicos. Un ámbito estático utiliza un valor de texto fijo, como read_account, address o profile. Cada solicitud de ese ámbito utiliza el mismo nombre y significado.
Un ámbito dinámico incluye un componente variable representado por un comodín. Un patrón como read_bank_account_txn:* puede permitir que la parte variable cambie entre solicitudes, según el diseño de autorización y las reglas de validación.
Ámbito estático
Usa un valor fijo para un permiso estable. Algunos ejemplos son address, email, phone y profile.
Ámbito dinámico
Usa un componente variable cuando el recurso o el contexto solicitado pueda cambiar entre solicitudes de autorización.
Ámbito agrupado
Combina permisos relacionados en un grupo con nombre para simplificar la configuración y la administración de los clientes.
Al crear un ámbito, proporciona un nombre significativo y una descripción que explique el permiso. Por ejemplo, un ámbito address puede utilizar una descripción como “Acceso a la dirección”, mientras que un ámbito admin puede describir permisos administrativos.
No utilices ámbitos dinámicos simplemente para reducir el trabajo de administración. Confirma que la parte variable esté validada y no pueda conceder un acceso más amplio del previsto.
Configuración de ámbitos paso a paso
Utiliza el siguiente proceso para crear un modelo básico de ámbitos en la consola de administración de PingFederate.
Abrir la gestión de ámbitos
Inicia sesión en PingFederate y abre el área del sistema que contiene la gestión de ámbitos. Revisa las entradas de ámbitos comunes, exclusivos, agrupados y predeterminados existentes antes de añadir nuevos valores.
Crear ámbitos comunes
Añade nombres de permisos fijos, como address, email, phone o profile. Introduce una descripción breve para cada permiso y marca el valor como estático, salvo que se necesite un componente variable.
Crear un grupo de ámbitos
Abre los grupos de ámbitos comunes, proporciona un nombre de grupo único y añade los ámbitos relacionados. Un grupo orientado al perfil podría contener los permisos de dirección, correo electrónico y teléfono.
Revisar los ámbitos exclusivos
Utiliza ámbitos exclusivos para permisos que no deban estar disponibles para un cliente de forma predeterminada. El cliente debe configurarse explícitamente para permitir estos valores.
Guardar y probar
Guarda la configuración y, a continuación, prueba una solicitud de autorización con el parámetro de ámbito previsto. Confirma que el cliente reciba únicamente los permisos configurados para su solicitud.
El nombre de un grupo de ámbitos debe seguir siendo único dentro de la configuración de ámbitos correspondiente. Si ya existe un nombre como ámbito común, selecciona otro nombre de grupo para evitar un conflicto de configuración.
Después de guardar, prueba tanto un ámbito permitido como uno restringido. Esto confirma que la configuración del cliente y la política de autorización están aplicando el límite previsto.
Permisos del cliente y comportamiento del consentimiento
Los clientes solicitan ámbitos durante la autorización. PingFederate utiliza las definiciones de ámbitos configuradas y los permisos del cliente para determinar qué valores están disponibles. Los ámbitos comunes pueden estar disponibles de forma predeterminada, mientras que los ámbitos exclusivos requieren una autorización explícita del cliente.
Los ámbitos predeterminados tienen una relación especial con la experiencia de consentimiento. Pueden proporcionar una descripción predeterminada o una selección de permisos para la pantalla de aprobación de autorización de PingFederate. Si un permiso está configurado como predeterminado obligatorio, es posible que el usuario no pueda eliminarlo de la selección de aprobación.
Utiliza esta lista de comprobación antes de pasar de la configuración a las pruebas:
Lista de comprobación de ámbitos
- Cada ámbito tiene un nombre único y comprensible
- Las descripciones explican el permiso en un lenguaje claro
- Los patrones de ámbitos dinámicos tienen una estrategia de validación definida
- Los ámbitos exclusivos están habilitados únicamente para los clientes previstos
- El comportamiento del consentimiento se ha probado con solicitudes de autorización realistas
Mantén la coherencia de los nombres de los ámbitos entre los clientes, las políticas y las asignaciones de tokens de acceso. Un esquema de nombres basado en el recurso y la acción, como read_account o write_profile, facilita la interpretación de los registros de autorización.
Trata los permisos predeterminados con cuidado. Una configuración de consentimiento práctica debe mostrar claramente el acceso solicitado al propietario del recurso y ser adecuada para el cliente.
Estrategia de pruebas y preguntas frecuentes
Un flujo de trabajo fiable para el tutorial de PF27 termina con pruebas específicas. Comienza con un ámbito estático sencillo y, después, prueba un grupo de ámbitos, un ámbito exclusivo y un ámbito dinámico si tu implementación lo requiere. Registra el valor solicitado, la identidad del cliente, el resultado del consentimiento y los permisos finales del token.
Comprueba estos resultados habituales:
- La ausencia de un ámbito puede indicar que el cliente no tiene permiso para solicitarlo.
- Un ámbito dinámico rechazado puede indicar un componente variable no válido.
- Una selección de consentimiento inesperada puede deberse a la configuración de ámbitos predeterminados.
- Un token demasiado amplio puede indicar que un grupo contiene más permisos de los previstos.
- Un nombre duplicado puede impedir que se guarde un grupo o un ámbito.
Q: ¿Qué es un ámbito en PingFederate?
Un ámbito es un límite de permisos con nombre que representa un subconjunto específico de derechos de acceso solicitados por un cliente y evaluados durante la autorización.
Q: ¿Cuál es la diferencia entre los ámbitos estáticos y dinámicos?
Un ámbito estático utiliza un único valor fijo, mientras que un ámbito dinámico incluye un componente variable que puede cambiar entre las solicitudes de autorización.
Q: ¿Cuándo se debe utilizar un ámbito exclusivo?
Utiliza un ámbito exclusivo para permisos sensibles que no deban estar disponibles para los clientes de forma predeterminada. El cliente previsto debe configurarse para permitirlo.
Q: ¿Por qué puede fallar el guardado del nombre de un grupo de ámbitos?
El nombre de un grupo de ámbitos puede no guardarse si entra en conflicto con un nombre de ámbito existente o infringe las reglas de exclusividad de la configuración actual de PingFederate.
Comienza con el conjunto de permisos más pequeño que admita la tarea del cliente. Añade ámbitos únicamente cuando el requisito de la aplicación sea claro y la prueba de autorización confirme el resultado esperado.