Sintaxe das regras de conversão de identidade

Exemplos da condição empty

A condição empty retorna cadeias de caracteres para substituir os atributos locais {0..n}.

• No exemplo a seguir, o nome de usuário de um usuário federado será "o valor do primeiro atributo remoto+espaço+o valor do segundo atributo remoto" no IAM, ou seja, FirstName LastName. O grupo ao qual o usuário pertence é o valor do terceiro atributo remoto Group. Este atributo tem apenas um valor.

  [ 
          { 
              "local": [ 
                  { 
                      "user": { 
                          "name": "{0} {1}" 
                      } 
                  }, 
                  { 
                      "group": { 
                          "name": "{2}" 
                      } 
                  } 
              ], 
              "remote": [ 
                  { 
                      "type": "FirstName" 
                  }, 
                  { 
                      "type": "LastName" 
                  }, 
                  { 
                      "type": "Group" 
                  } 
              ] 
          } 
  ]     

  Se a seguinte asserção (simplificada para facilitar a compreensão) for recebida, o nome de usuário do usuário federado será John Smith e o usuário só pertencerá ao grupo admin.

  {FirstName: John} 
  {LastName: Smith} 
  {Group: admin}
• Se um usuário federado pertencer a vários grupos de usuários no IAM, a regra de conversão de identidade poderá ser configurada da seguinte maneira:

  No exemplo a seguir, o nome de usuário de um usuário federado será "o valor do primeiro atributo remoto+espaço+o valor do segundo atributo remoto" no IAM, ou seja, FirstName LastName. Os grupos aos quais o usuário pertence são o valor do terceiro atributo remoto Groups.

  [  
          {  
              "local": [  
                  {  
                      "user": {  
                          "name": "{0} {1}"  
                      }  
                  },  
                  {  
                      "group":   {  
                          "name": "{2}"  
                      }   
                  }  
              ],  
              "remote": [  
                  {  
                      "type": "FirstName"  
                  },  
                  {  
                      "type": "LastName"  
                  },  
                  {  
                      "type": "Groups"  
                  }  
              ]  
          }  
  ]  

  Se a asserção a seguir for recebida, o nome de usuário do usuário federado será John Smith e o usuário pertencerá aos grupos admin e manager.

  {FirstName: John}  
  {LastName: Smith}  
  {Groups: [admin, manager]}

Exemplos das condições "any one of" e "not any of"

Ao contrário da condição empty, as condições any one of e not any of retornam valores Boolean. Esses valores não serão usados para substituir os atributos locais. No exemplo a seguir, apenas {0} será substituído pelo valor retornado da primeira condição empty no bloco remote. O valor do group é fixo como admin.

• O nome de usuário do usuário federado no IAM é o valor do primeiro atributo remoto, ou seja, UserName. O usuário federado pertence ao grupo admin. Essa regra entra em vigor somente para usuários que são membros do grupo idp_admin no IdP.

  [ 
          { 
              "local": [ 
                  { 
                      "user": { 
                          "name": "{0}" 
                      } 
                  }, 
                  { 
                      "group": { 
                          "name": "admin" 
                      } 
                  } 
              ], 
              "remote": [ 
                  { 
                  "type": "UserName" 
                  }, 
                  { 
                      "type": "Groups", 
                      "any_one_of": [ 
                          "idp_admin" 
                      ] 
                  } 
              ] 
          } 
  ]     
• Se um usuário federado pertencer a vários grupos de usuários no IAM, a regra de conversão de identidade poderá ser configurada da seguinte maneira:
  O nome de usuário do usuário federado no IAM é o valor do primeiro atributo remoto, ou seja, UserName. O usuário federado pertence aos grupos admin e manager. Essa regra entra em vigor somente para usuários que são membros do grupo idp_admin no IdP.

  [  
          {  
              "local": [  
                  {  
                      "user": {  
                          "name": "{0}"  
                      }  
                  },  
                  {  
                      "group": {
                             "name":"admin"
                      }
                  },
                  {  
                      "group": {
                             "name":"manager"
                      }
                  }
              ],  
              "remote": [  
                  {  
                  "type": "UserName"  
                  },  
                  {  
                      "type": "Groups",  
                      "any_one_of": [  
                          "idp_admin"  
                      ]  
                  }  
              ]  
          }  
  ]     

  • A asserção a seguir indica que o usuário federado John Smith é membro do grupo idp_admin. Portanto, o usuário pode acessar a Huawei Cloud.

    {UserName: John Smith} 
    {Groups: [idp_user, idp_admin, idp_agency]}
  • A asserção a seguir indica que o usuário federado John Smith não é membro do grupo idp_admin. Portanto, a regra não entra em vigor para o usuário e o usuário não pode acessar a Huawei Cloud.

    {UserName: John Smith} 
    {Groups: [idp_user, idp_agency]}

Exemplo de condição contendo uma expressão regular

Você pode adicionar "regex": true a uma condição para calcular resultados usando uma expressão regular.

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "any_one_of": [ 
                        ".*@mail.com$" 
                    ], 
                    "regex": true 
                } 
            ] 
        } 
]     

Exemplos de condições combinadas

Várias condições podem ser combinadas usando o operador lógico AND.

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_user" 
                    ] 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_agent" 
                    ] 
                } 
            ] 
        } 
]     

A regra anterior é equivalente à seguinte:

[ 
        { 
            "local": [ 
                { 
                    "user": { 
                        "name": "{0}" 
                    } 
                }, 
                { 
                    "group": { 
                        "name": "admin" 
                    } 
                } 
            ], 
            "remote": [ 
                { 
                "type": "UserName" 
                }, 
                { 
                    "type": "Groups", 
                    "not_any_of": [ 
                        "idp_user", 
                        "idp_agent" 
                    ] 
                } 
            ] 
        } 
]     

Exemplos de regras combinadas

Se várias regras forem combinadas, os métodos para correspondência de nomes de usuários e grupos de usuários serão diferentes.

O nome de um usuário federado será o nome de usuário correspondente na primeira regra que entrar em vigor, e o usuário pertencerá a todos os grupos correspondentes em todas as regras que entrarem em vigor. Um usuário federado só pode fazer logon se pelo menos uma regra entrar em vigor para corresponder ao nome de usuário. Para facilitar a compreensão, as regras de nome de usuário e grupo de usuários podem ser configuradas separadamente.

No exemplo a seguir, as regras entram em vigor para usuários no grupo idp_admin. O nome de usuário de cada usuário federado aplicável é UserName no IAM e o usuário pertence ao grupo admin.

[ 
    { 
        "local": [ 
            { 
                "user": { 
                    "name": "{0}" 
                } 
            } 
        ], 
        "remote": [ 
            { 
                "type": "UserName" 
            } 
        ] 
    }, 
    { 
        "local": [ 
            { 
                "group": { 
                    "name": "admin" 
                } 
            } 
        ], 
        "remote": [ 
            { 
                "type": "Groups", 
                "any_one_of": [ 
                    "idp_admin" 
                ] 
            } 
        ] 
    }
]

A asserção a seguir indica que o usuário John Smith é membro do grupo idp_admin no IdP e, portanto, atende às regras. O nome de usuário desse usuário será John Smith no IAM e o usuário pertencerá ao grupo admin.

{UserName: John Smith} 
{Groups: [idp_user, idp_admin, idp_agency]}