access-token - FIWARE - 具有一般权限的 Keyrock 令牌允许未经授权访问应用程序（安全问题？）

Question

在本地 Keyrock 实例中，我们有两个用户 A 和 B，分别使用两个不同的应用程序 AppA 和 AppB。这两个用户都不同于默认的“admin”用户“idm”。Wilma PEP 代理配置了来自用户 A 的 PEP 凭证。问题是用户 B 可以从 Keyrock IdM 获取有效令牌，并且可以成功访问 AppA（如前所述，它在 Wilma PEP 代理中注册，PEP 凭证来自用户 A)。

这是 Keyrock+Wilma 组件 (GE) 的默认行为还是真的是一个安全问题？我认为用户 B 不应该访问用户 A 的应用程序。似乎所有令牌都是通用的，并且可以独立于用户访问所有应用程序。我是否缺少对所有这些过程的了解？

Answer 1

这实际上是预期的行为。PEP 中的令牌检查只是确保用户在 Keyrock 中有一个帐户（身份验证检查）。如果您想管理对应用程序的访问，您必须为每个应用程序内的用户创建和分配角色（授权检查）。