联邦凭证表达式的使用

一、Client（客户端模型）

在 IDaaS 表达式中，可以通过client.字段名的形式访问 Client 模型的属性。下表列出了 Client 模型支持的字段及其说明：

二、PKCS#7 Federated Crendential（PKCS#7联邦凭证模型）

在 IDaaS 的 PKCS#7 联邦凭证模型中，您可以通过 pkcs7.字段名 的方式访问以下字段。该模型适用于 PKCS#7 联邦信任源的信任条件表达式和 PKCS#7 联邦凭证的校验条件表达式。

三、PCA Fedrated Credential（PCA联邦凭证模型）

在 IDaaS 的 PCA 联邦凭证模型中，您可以通过 cert 对象访问以下字段。例如，获取证书颁发者的 CN（Common Name）字段，可使用表达式：cert.issuer.subject.CN。该模型适用于 PCA 联邦信任源的信任条件表达式和 PCA 联邦凭证的校验条件表达式场景。

四、OIDC Federated Credential（OIDC联邦凭证模型）

在 IDaaS 的 OIDC 联邦凭证模型中，支持通过 jwt.字段名 的方式访问以下字段。该模型适用于OIDC联邦信任源的信任条件表达式和OIDC联邦凭证的校验条件表达式中。下表列出了OIDC联邦凭证模型的主要字段及其说明：

{
  "aud": [
    "https://example.com",
    "https://example2.com"
  ]
}

五、CertificateObject 模型

CertificateObject 模型用于处理证书相关的验证场景，提供对证书各个字段的访问能力。支持通过 cert.字段名 的方式访问以下字段，该模型适用于证书链验证、证书属性校验和证书有效期检查等场景。

CertificateSubjectObject模型字段如下：

表达式示例

上述所有的模型，想要在表达式里面使用，都需要符合 JSON 语义进行取值。如果 JSON 的 key 出现的特殊字符，如“.”，“-”，“_”等字符，请使用单引号把该 key 包裹起来。

联邦信任源信任条件

1. PCA

   // 获取PCA上传的证书issuer的CN字段，进行比较
   // 比如证书issuer为：C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test
   Equals(cert.issuer.CN, "test")
   
   // 判断该证书是不是证书颁发机构（可以颁发其他证书）
   Equals(cert.ca, true)
   

2. OIDC

   // 判断kubernetes集群的serviceaccount oidc token里面的subject是否正确
   Equals(jwt.sub, "test")
   
   // 同时判断issuer和audience是否正确
   And(Equals(jwt.iss, "https://example.com"), Equals(jwt.aud, "test_aud"))

3. PKCS#7

   选择PKCS#7联邦信任源，用户不需要填写信任条件表达式。

联邦凭证校验条件

联邦凭证校验条件的表达式编写方式与联邦信任源的信任条件类似，均通过数据模型获取对应字段进行校验。IDaaS提供快捷配置模式，可自动生成基础校验表达式，简化配置流程。

1. PCA

   // 当使用校验条件模式为证书模式时，填写的公用名（CN）：example, 生成的表达式如下：
   Equals(cert.subject.CN, "example")
   
   // 如果需要自定义表达式，校验其他条件，请选择客户端证书字段表达式校验模式
   // 比如想校验客户端证书issuer里面的country，location，province
   // 比如证书issuer为：C=cn, ST=sichuan, L=chengdu, O=example, OU=test, CN=test
   And(Equals(cert.issuer.C, "cn"), Equals(cert.issuer.L, "chengdu"), Equals(cert.issuer.ST, "sichuan"))
   
   // 判断证书的序列号，注意：序列号是16进制，全小写，不带冒号，可以使用函数进行转换
   // 比如从证书看见的序列号为：6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e,使用StringReplace()函数把冒号移除，表达式如下：
   // StringReplace("原始字符串","需要被替换的字符","替换后的字符")
   Equals(cert.serialNumber, StringReplace("6d:5a:28:16:af:46:7f:40:d3:8b:e7:28:0f:6e:97:4f:11:4a:06:1e",":",""))
   
   // 如果序列号为全大写，如：6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E
   // 使用ToLower()函数，把字符串转换成小写，再使用StringReplace()函数把冒号去掉
   Equals(cert.serialNumber, StringReplace(ToLower("6D:5A:28:16:AF:46:7F:40:D3:8B:E7:28:0F:6E:97:4F:11:4A:06:1E"),":",""))

2. OIDC

   // 当使用Kubernetes模式时，填入的命名空间：test，服务账号：test
   // 自动生成的表达式如下：
   And(Equals(jwt.claims.'kubernetes.io'.namespace, "test"), Equals(jwt.claims.'kubernetes.io'.serviceaccount.name, "test"), Equals(jwt.sub, "system:serviceaccount:test:test"))
   
   // 当使用的是主体标识模式，填入的主体标识：https://sub.example.com
   // 自动生成的表达式如下：
   Equals(jwt.sub, "https://sub.example.com")
   
   // 如果需要自定义表达式，校验其他条件，请选择Claims字段表达式校验模式
   // 如需要校验当前OIDC token的jti字段，表达式如下：
   Equals(jwt.jti, "test_XXX")
   
   // 如果用户在OIDC Token的 Claims里面，自定义了一个字段为customValue，想要校验该字段，表达式如下：
   Equals(jwt.claims.customValue, "XXX")
   
   // 如果需要比较aud是否正确，aud是数组形式，需要通过数组下标来获取对应的aud值进行比较。
   // 建议通过OIDC 联邦信任源的aud字段进行校验，不在联邦凭证的校验条件里面进行校验。
   // 当aud只有一个值时，表达式如下：
   Equals(jwt.aud[0], "example_aud")
   // 当aud有多个值时，可以使用Or()函数进行比较，表示只要有一个aud符合，就通过校验。表达式如下：
   Or(Equals(jwt.aud[0], "https://example.com"), Equals(jwt.aud[1], "https://example2.com"))

3. PKCS#7

   // 如果当前联邦信任源为阿里云的PKCS#7，当选择的校验条件模式是指定云服务器实例模式，填写的云服务器实例ID为：i-123，i-456,生成的表达式如下：
   Or(Equals(pkcs7.payload.jsonData.'instance-id', "i-123"),Equals(pkcs7.payload.jsonData.'instance-id', "i-456"))
   
   // 如果是亚马逊云的PKCS#7，当选择的校验条件模式是指定云服务器实例模式，填写的云服务器实例ID为：i-123，i-456,生成的表达式如下：
   Or(Equals(pkcs7.payload.jsonData.instanceId, "i-123"),Equals(pkcs7.payload.jsonData.instanceId, "i-456"))
   
   // 如果需要自定义表达式，校验其他条件，请选择签名值表达式校验模式
   // 比如校验阿里云PKCS#7签名值里面的regoin-id字段，表达式如下：
   Equals(pkcs7.payload.jsonData.'region-id', "cn-hangzhou")

阿里云 pkcs7 可用字段

亚马逊云 pkcs7 可用字段