Sintaxis de las reglas de conversión de identidad

Ejemplos de la condición empty

La condición empty devuelve cadenas de caracteres para reemplazar los atributos locales {0..n}.

• En el siguiente ejemplo, el nombre de usuario de un usuario federado será, "el valor del primer atributo remoto+espacio+el valor del segundo atributo remoto" en IAM, es decir, FirstName LastName. El grupo al que pertenece el usuario es el valor del tercer atributo remoto Group. Este atributo solo tiene un valor.

  [ 
          { 
              "local": [ 
                  { 
                      "user": { 
                          "name": "{0} {1}" 
                      } 
                  }, 
                  { 
                      "group": { 
                          "name": "{2}" 
                      } 
                  } 
              ], 
              "remote": [ 
                  { 
                      "type": "FirstName" 
                  }, 
                  { 
                      "type": "LastName" 
                  }, 
                  { 
                      "type": "Group" 
                  } 
              ] 
          } 
  ]     

  Si se recibe la siguiente aserción (simplificada para una fácil comprensión), el nombre de usuario del usuario federado será John Smith y el usuario solo pertenecerá al grupo de admin.

  {FirstName: John} 
  {LastName: Smith} 
  {Group: admin}
• Si un usuario federado pertenecerá a varios grupos de usuarios en IAM, la regla de conversión de identidad se puede configurar de la siguiente manera:

  En el siguiente ejemplo, el nombre de usuario de un usuario federado será, "el valor del primer atributo remoto+espacio+el valor del segundo atributo remoto" en IAM, es decir, FirstName LastName. Los grupos a los que pertenece el usuario son el valor del tercer atributo remoto Groups.

  [  
          {  
              "local": [  
                  {  
                      "user": {  
                          "name": "{0} {1}"  
                      }  
                  },  
                  {  
                      "group":   {  
                          "name": "{2}"  
                      }   
                  }  
              ],  
              "remote": [  
                  {  
                      "type": "FirstName"  
                  },  
                  {  
                      "type": "LastName"  
                  },  
                  {  
                      "type": "Groups"  
                  }  
              ]  
          }  
  ]  

  Si se recibe la siguiente aserción, el nombre de usuario del usuario federado será John Smith y el usuario pertenecerá a los grupos de admin y manager.

  {FirstName: John}  
  {LastName: Smith}  
  {Groups: [admin, manager]}

Ejemplos de condiciones "any one of" y "not any of"

A diferencia de la condición empty, any one of y not any of ellas devuelven valores booleanos. Estos valores no se utilizarán para reemplazar los atributos locales. En el siguiente ejemplo, solo {0} será reemplazado por el valor devuelto de la primera condición de empty en el bloque remote. El valor de group se fija como admin.

• El UserName del usuario federado en IAM es el valor del primer atributo remoto, es decir, el UserName. El usuario federado pertenece al grupo de admin. Esta regla solo tiene efecto para los usuarios que son miembros del grupo idp_admin en el IdP.

  [ 
          { 
              "local": [ 
                  { 
                      "user": { 
                          "name": "{0}" 
                      } 
                  }, 
                  { 
                      "group": { 
                          "name": "admin" 
                      } 
                  } 
              ], 
              "remote": [ 
                  { 
                  "type": "UserName" 
                  }, 
                  { 
                      "type": "Groups", 
                      "any_one_of": [ 
                          "idp_admin" 
                      ] 
                  } 
              ] 
          } 
  ]     
• Si un usuario federado pertenecerá a varios grupos de usuarios en IAM, la regla de conversión de identidad se puede configurar de la siguiente manera:
  El UserName del usuario federado en IAM es el valor del primer atributo remoto, es decir, el UserName. El usuario federado pertenece a los grupos de admin y manager. Esta regla solo tiene efecto para los usuarios que son miembros del grupo idp_admin en el IdP.

  [  
          {  
              "local": [  
                  {  
                      "user": {  
                          "name": "{0}"  
                      }  
                  },  
                  {  
                      "group": {
                             "name":"admin"
                      }
                  },
                  {  
                      "group": {
                             "name":"manager"
                      }
                  }
              ],  
              "remote": [  
                  {  
                  "type": "UserName"  
                  },  
                  {  
                      "type": "Groups",  
                      "any_one_of": [  
                          "idp_admin"  
                      ]  
                  }  
              ]  
          }  
  ]     

  • La siguiente afirmación indica que el usuario federado John Smith es miembro del grupo idp_admin. Por lo tanto, el usuario puede acceder a Huawei Cloud.

    {UserName: John Smith} 
    {Groups: [idp_user, idp_admin, idp_agency]}
  • La siguiente afirmación indica que el usuario federado John Smith no es miembro del grupo idp_admin. Por lo tanto, la regla no tiene efecto para el usuario y el usuario no puede acceder a Huawei Cloud.

    {UserName: John Smith} 
    {Groups: [idp_user, idp_agency]}

Ejemplo de condición que contiene una expresión regular

Puede agregar "regex": true a una condición para calcular los resultados usando una expresión regular.

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "any_one_of": [ 
                        ".*@mail.com$" 
                    ], 
                    "regex": true 
                } 
            ] 
        } 
]     

Ejemplos de condiciones combinadas

Se pueden combinar múltiples condiciones usando el operador lógico AND.

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_user" 
                    ] 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_agent" 
                    ] 
                } 
            ] 
        } 
]     

La regla anterior es equivalente a la siguiente:

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_user", 
                        "idp_agent" 
                    ] 
                } 
            ] 
        } 
]     

Ejemplos de reglas combinadas

Si se combinan varias reglas, los métodos para coincidir nombres de usuario y grupos de usuarios son diferentes.

El nombre de un usuario federado será el nombre de usuario coincidente en la primera regla que surta efecto, y el usuario pertenecerá a todos los grupos coincidentes en todas las reglas que suban efecto. Un usuario federado solo puede iniciar sesión si al menos una regla entra en vigor para que coincida con el nombre de usuario. Para una fácil comprensión, las reglas de nombre de usuario y grupo de usuarios se pueden configurar por separado.

En el siguiente ejemplo, las reglas tienen efecto para los usuarios del grupo idp_admin. El UserName de cada usuario federado aplicable es el UserName en IAM y el usuario pertenece al grupo de admin.

[ 
    { 
        "local": [ 
            { 
                "user": { 
                    "name": "{0}" 
                } 
            } 
        ], 
        "remote": [ 
            { 
                "type": "UserName" 
            } 
        ] 
    }, 
    { 
        "local": [ 
            { 
                "group": { 
                    "name": "admin" 
                } 
            } 
        ], 
        "remote": [ 
            { 
                "type": "Groups", 
                "any_one_of": [ 
                    "idp_admin" 
                ] 
            } 
        ] 
    }
]

La siguiente afirmación indica que el usuario John Smith es miembro del grupo idp_admin en el IdP y, por lo tanto, cumple con las reglas. El nombre de usuario de este usuario será John Smith en IAM, y el usuario pertenecerá al grupo de admin.

{UserName: John Smith} 
{Groups: [idp_user, idp_admin, idp_agency]}