Identity as a Service：聯邦憑證運算式的使用

一、Client（用戶端模型）

在 IDaaS 運算式中，可以通過client.欄位名的形式訪問 Client 模型的屬性。下表列出了 Client 模型支援的欄位及其說明：

二、PKCS#7 Federated Crendential（PKCS#7聯邦憑證模型）

在 IDaaS 的 PKCS#7 聯邦憑證模型中，您可以通過 pkcs7.欄位名 的方式訪問以下欄位。該模型適用於 PKCS#7 聯邦信任源的信任條件運算式和 PKCS#7 聯邦憑證的校正條件運算式。

三、PCA Fedrated Credential（PCA聯邦憑證模型）

在 IDaaS 的 PCA 聯邦憑證模型中，您可以通過 cert 對象訪問以下欄位。例如，擷取憑證簽發者的 CN（Common Name）欄位，可使用運算式：cert.issuer.subject.CN。該模型適用於 PCA 聯邦信任源的信任條件運算式和 PCA 聯邦憑證的校正條件運算式情境。

四、OIDC Federated Credential（OIDC聯邦憑證模型）

在 IDaaS 的 OIDC 聯邦憑證模型中，支援通過 jwt.欄位名 的方式訪問以下欄位。該模型適用於OIDC聯邦信任源的信任條件運算式和OIDC聯邦憑證的校正條件運算式中。下表列出了OIDC聯邦憑證模型的主要欄位及其說明：

{
  "aud": [
    "https://example.com",
    "https://example2.com"
  ]
}

五、CertificateObject 模型

CertificateObject 模型用於處理認證相關的驗證情境，提供對認證各個欄位的訪問能力。支援通過 cert.欄位名 的方式訪問以下欄位，該模型適用於憑證鏈結驗證、認證屬性校正和認證有效期間檢查等情境。

CertificateSubjectObject模型欄位如下：

運算式樣本

上述所有的模型，想要在運算式裡面使用，都需要符合 JSON 語義進行取值。如果 JSON 的 key 出現的特殊字元，如“.”，“-”，“_”等字元，請使用單引號把該 key 包裹起來。

聯邦信任源信任條件

1. PCA

   // 擷取PCA上傳的認證issuer的CN欄位，進行比較
   // 比如認證issuer為：C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test
   Equals(cert.issuer.CN, "test")
   
   // 判斷該認證是不是憑證授權單位（可以頒發其他認證）
   Equals(cert.ca, true)
   

2. OIDC

   // 判斷kubernetes叢集的serviceaccount oidc token裡面的subject是否正確
   Equals(jwt.sub, "test")
   
   // 同時判斷issuer和audience是否正確
   And(Equals(jwt.iss, "https://example.com"), Equals(jwt.aud, "test_aud"))

3. PKCS#7

   選擇PKCS#7聯邦信任源，使用者不需要填寫信任條件運算式。

聯邦憑證校正條件

聯邦憑證校正條件的運算式編寫方式與聯邦信任源的信任條件類似，均通過資料模型擷取對應欄位進行校正。IDaaS提供快捷配置模式，可自動產生基礎校正運算式，簡化配置流程。

1. PCA

   // 當使用校正條件模式為認證模式時，填寫的一般名稱（CN）：example, 產生的運算式如下：
   Equals(cert.subject.CN, "example")
   
   // 如果需要自訂運算式，校正其他條件，請選擇用戶端認證欄位運算式校正模式
   // 比如想校正用戶端認證issuer裡面的country，location，province
   // 比如認證issuer為：C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test
   And(Equals(cert.issuer.C, "cn"), Equals(cert.issuer.L, "chengdu"), Equals(cert.issuer.ST, "sichuan"))
   
   // 判斷認證的序號，注意：序號是16進位，全小寫，不帶冒號，可以使用函數進行轉換
   // 比如從認證看見的序號為：6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e,使用StringReplace()函數把冒號移除，運算式如下：
   // StringReplace("原始字串","需要被替換的字元","替換後的字元")
   Equals(cert.serialNumber, StringReplace("6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e",":",""))
   
   // 如果序號為全大寫，如：6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E
   // 使用ToLower()函數，把字串轉換成小寫，再使用StringReplace()函數把冒號去掉
   Equals(cert.serialNumber, StringReplace(ToLower("6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E"),":",""))

2. OIDC

   // 當使用Kubernetes模式時，填入的命名空間：test，服務帳號：test
   // 自動產生的運算式如下：
   And(Equals(jwt.claims.'kubernetes.io'.namespace, "test"), Equals(jwt.claims.'kubernetes.io'.serviceaccount.name, "test"), Equals(jwt.sub, "system:serviceaccount:test:test"))
   
   // 當使用的是主體標識模式，填入的主體標識：https://sub.example.com
   // 自動產生的運算式如下：
   Equals(jwt.sub, "https://sub.example.com")
   
   // 如果需要自訂運算式，校正其他條件，請選擇Claims欄位運算式校正模式
   // 如需要校正當前OIDC token的jti欄位，運算式如下：
   Equals(jwt.jti, "test_XXX")
   
   // 如果使用者在OIDC Token的 Claims裡面，自訂了一個欄位為customValue，想要校正該欄位，運算式如下：
   Equals(jwt.claims.customValue, "XXX")
   
   // 如果需要比較aud是否正確，aud是數組形式，需要通過數組下標來擷取對應的aud值進行比較。
   // 建議通過OIDC 聯邦信任源的aud欄位進行校正，不在聯邦憑證的校正條件裡面進行校正。
   // 當aud只有一個值時，運算式如下：
   Equals(jwt.aud[0], "example_aud")
   // 當aud有多個值時，可以使用Or()函數進行比較，表示只要有一個aud符合，就通過校正。運算式如下：
   Or(Equals(jwt.aud[0], "https://example.com"), Equals(jwt.aud[1], "https://example2.com"))

3. PKCS#7

   // 如果當前聯邦信任源為阿里雲的PKCS#7，當選擇的校正條件模式是指定雲端服務器執行個體模式，填寫的雲端服務器執行個體ID為：i-123，i-456,產生的運算式如下：
   Or(Equals(pkcs7.payload.jsonData.'instance-id', "i-123"),Equals(pkcs7.payload.jsonData.'instance-id', "i-456"))
   
   // 如果是亞馬遜雲的PKCS#7，當選擇的校正條件模式是指定雲端服務器執行個體模式，填寫的雲端服務器執行個體ID為：i-123，i-456,產生的運算式如下：
   Or(Equals(pkcs7.payload.jsonData.instanceId, "i-123"),Equals(pkcs7.payload.jsonData.instanceId, "i-456"))
   
   // 如果需要自訂運算式，校正其他條件，請選擇簽名值運算式校正模式
   // 比如校正阿里雲PKCS#7簽名值裡面的regoin-id欄位，運算式如下：
   Equals(pkcs7.payload.jsonData.'region-id', "cn-hangzhou")

阿里雲 pkcs7 可用欄位

亞馬遜雲 pkcs7 可用欄位