Implementere støtte for å definere og kontrollere krav til scope i token ved referanse til tjenesteressurs

[elsand]

Det er behov for tjenesteeier å begrense hvilke tjenester (altså service resources) en gitt klient hos dem kan aksessere for å bygge sikring mellom de ulike systemene. Dette løses gjennom å kreve at ytterligere scopes oppgis for å kunne aksessere en gitt tjenesteressurs.

Disse reglene defineres i XACML-policy for den aktuelel ressursen gjennom en "action" vi kaller "administrate". Kun scopes-attributter på subjektet støttes/hensyntas.

I tillegg må det vurderes om dette er noe som også skal være en del av dialog-entiteten slik at tjenesteeiere kan ytterligere styre egen tilgang på dialog-nivå. Edit: Dette gjøres i egen issue.

Implementasjon

I stedet for å gjøre kall mot PEP-API, henter vi policies for hver ressurs og benytter Altinn.Authorization.ABAC for å parse ut reglene som regulerer dette og utvider cachen med informasjon om scope-krav.

Ved hjelp av FusionCache som etableres i #274, har vi en to-nivå cache som lar oss finne ut hvilke ressurser som eies av en gitt tjenesteeier, og evt. hvilke scopes denne krever.

Det etableres to stk to-nivå cache; hvor nivå 1 er en memorycache som populeres gjennom en BackgroundService. Denne background-servicen har en IDistributedCache som den populerer memorycachen med. IDistributedCache skal ha Redis som backing, men dette løses i #275.

Cache nr 1 har èn key - som inneholder en liste over ressurser i ressursregisteret knyttet til organisasjonsnummer (tjenesteeier), altså det vi har i dag. TTL på denne settes til 1200 sekunder, med eager refresh (etter 80% av TTL). Jitter for å unngå flere samtidige requests på tvers av replikas.

Cache nr 2 har keys per ressurs fra listen over. Denne inneholder en liste over scopes som evt. kreves oppgitt av tjenesteeier per ressurs. TTL på denne 3600 sekunder, med eager refresh (etter 80% TTL). Jitter for å unngå flere samtidige requestes på tvers av replikas.

Som en optimalisering, etableres en egen backgroundservice som - med utgangspunkt i cache #1 - regelmessig løper gjennom alle keys for å pre-populere cache #2. Dette vil innebære at under normale omstendigheter vil requester alltid treffe cache.

• Ressursenes policy ligger på /resourceregistry/api/v1/resource/{ressursId}/Policy
• ABAC-biblioteket brukes for å hente ut scope-krav
  • subject-attributt(er) av typen "urn:altinn:scope"
  • resource-attributt av typen "urn:altinn:resource" der verdien matcher serviceIdentifier
  • action-attributt av for verdien "administrate"

Tasks

Preview Give feedback

1. Finne løsning for hvor denne informasjonen skal ligge
2. Vurdere om scope-krav satt på dialog-entiteten er noe som behøves. Edit: dette blir egen issue
3. Etablere mekanisme for å parse ut scopes fra policy
4. Etablere cache nr 1 og nr 2 som beskrevet over

Se også

• Implementere autentisering og autorisasjonskontroll for tjenestetilbydere #44
• Arbeidsdokumentet vedr. selvpålagt scopekrav på dialog-nivå