WSO2IS openid-connect：アクセストークンを使用したアクセス制御

Question

認証と承認のためのOIDCプロバイダとしてWSO2ISを使用します。認証コードの許可を使用して、私はアクセストークンを取得しました。自分の役割に基づいて特定のサービスにアクセスするようにユーザーに権限を与える必要があります。

これを解決するためにXACMLを使用しようとしましたが、REST API XACMLリクエストのヘッダーにusername：passwordのbase64エンコーディングを渡す必要があることがわかりました。その代わりに、アクセストークンを使用して、役割に基づいてサービスにアクセスするユーザーを認証する方法はありますか？

この部分は、リソースサーバーで発生します。私は、スコープを使ってアクセストークンに基づいてユーザーを認証するために、イントロスペクションエンドポイントを使用することができると考えました。しかし、スコープを使用してユーザーにアクセス制御を提供する方法を理解できません。

Answer 1

ユーザーが使用できるすべてのスコープを持つアクセストークンを取得するには、OAuth2クライアントが気にするすべてのスコープを要求し、トークンにはユーザーがアクセスできるスコープのみが含まれている必要があります。 this questionを参照してください。

はい、扱いにくいですが、OAuth2は主に承認委任プロトコルです。ユーザーは一部の権限（スコープ）をクライアントに委任できます。

また、ロールに基づいて権限を決定できる場合は、おそらくIDトークンからユーザーロールのリストを取得できます。