クライアント資格情報フローのためのwso2 api managerのクライアントキーによる特定のリソースへのアクセスを制限する方法はありますか？

Question

wso2 api managerとのサーバー間通信を実装したいので、自分のアプリケーションを作成して自分のapiに登録できるthirdpartyクライアントが自分のapiを使うことができます。また、これらのクライアントは、特定のリソースセットによって制限される必要があります。組織IDのセットがあり、各特定のクライアントはIDの一部のサブセットのみにアクセスする必要があります。私はクライアントキーがWSO2AM_DBのIDN_OAUTH_CONSUMER_APPSテーブルに格納されていることを理解しました。私はこのDBにアタッチして、clientIdから組織へのマッピングを実装する別のサービスからクライアントIDを読み込み、メディエータの助けを借りてこのサービスを呼び出すことができます。urlで指定された組織IDが許可されているかどうかを確認し、組織が許可されている場合、バックエンドサービスはもう一度チェックすることができます。しかし、これが正しいアプローチであるかどうかはわかりません。おそらく、そのような操作なしで助けることができる何かがwso2にありますか？

Answer 1

あなたが見つけたとしても、これらのクライアントは、リソース

の特定のセットによって制限されるべき - APIのマネージャーは、エンドポイントに基づいてコールを許可します。リソース（例えば、特定のID）自体は、バックエンドサービスによって承認されるべきである。 API管理者にこのレベルの承認を適用することは合理的であるとは確信していません（私はそれが不可能であると言っているわけではなく、それだけでは十分柔軟ではないかもしれません）。

多分、そのような操作なしで助けることができる何かがwso2にありますか？

私がお勧めするのは、JWT tokenをバックエンドサービスに送信することです。バックエンドサービスは、製品データベースへの厳格なバインディングなしで（ユーザー名、アプリケーションなどに基づいて）承認を行う必要があります。

リンクされたドキュメントも独自のトークンジェネレータを実装する方法について説明しているので、jwtトークン（組織IDなど）に追加のクレームを追加できます。