Dev-Insights

BLU-Authn/Authz

curl --user s.behrens "https://aida-blu.scanplus.de/v2/core/companies/1234"

response = requests.get(
  "https://aida-blu.scanplus.de/v2/core/companies/1234",
  auth=("s.behrens",secret_password)
)

Persönliche User verwenden ihre regulären AD-Credentials
Maschinen User
- Alle nicht persönlichen Zugriffe auf die BLU
- SU-AidaBLU-<SystemName>
- im AD anlegen lassen unterhalb von

OU=AidaBLU,OU=ServiceUsers,OU=ScanPlus,DC=ad,DC=scanplus,DC=de

Endpunkte die ohne Authentifizierung erreichbar sind

Autorisierung erfolgt anhand der Gruppenzugehörigkeit im AD
```
OU=AidaBLU,OU=Groups,OU=ScanPlus,DC=ad,DC=scanplus,DC=de
```
Kein Rollen-Konzept
AD-Gruppe ➡️ BLU-Resource
403 Forbidden im Fehlerfall

Ist der Gruppenname ein substring vom fully qualified class name der Resource wird der Zugriff authorisiert.

Mitgliedschaft in der Gruppe

aida_blu.resources.automation

berechtigt zum Zugriff auf alle Resourcen im Modul

Ist der Gruppenname ein substring vom fully qualified class name der Resource wird der Zugriff authorisiert.

Mitgliedschaft in der Gruppe

aida_blu.resources.automation.available_features.AvailableFeatures

berechtigt zum Zugriff auf alle (HTTP) Methoden in der Klasse

Ist der Gruppenname ein substring vom fully qualified class name der Resource wird der Zugriff authorisiert.

Mitgliedschaft in der Gruppe

aida_blu.resources.automation.available_features.AvailableFeatures_get

berechtigt zum Zugriff auf collection_get und get methoden in der Klasse

Ist der Gruppenname ein substring vom fully qualified class name der Resource wird der Zugriff authorisiert.

Mitgliedschaft in der Gruppe

blu_admin

berechtigt zum Zugriff auf alle Resourcen

Die URI eines Endpunktes hängt nicht direkt mit dem Gruppennamen zusammen
Microsoft Active-Directory erlaubt für einen CommonName (CN) maximal 64 character
Durch den Aufbau ist aktuell kein read-only (_get) Zugriff auf alle Resourcen in einem Modul machbar
Wird die Authentifizierung duch BLU nicht erzwungen (z.B. in dev-Systemen), aber trotzdem credentials beim request mitgegeben, so werden diese auch geprüft und ggf ein 401 und 403 geworfen.

Wie bekomme ich eine System-User für System-Y für die Produktive BLU?

Omnitracker - Ticket für [OSS-Interne IT] Freundlich um die Anlage im AD bitten

Wo finde ich die Doku?

https://confluence.spdev.net/display/BLU

➡️ AIDA-blu ➡️ Authentifizierung und Autorisierung

Gibt's die Slides zum nachlesen?

Weitere Fragen?