配置 OAuth 委派授权

Windchill 可作为 ThingWorx 平台上构建的应用程序和混搭的资源提供者参与单一登录 (SSO)。在此用例中，用户可以登录到一个启用 SSO 的 ThingWorx 应用程序，并授权正在与其交互的应用程序来访问其 Windchill 数据。这种 SSO 实施即称为委派授权，因为用户会授权服务提供者 (应用程序) 代表他们从资源提供者 (Windchill) 那里检索其信息，并且用户只需登录一次即可。有关受支持的 SSO 用例以及在 PTC 产品之间设置 SSO 联合所需配置步骤的完整说明，请参阅 PTC Single Sign-on Architecture and Configuration Overview Guide (《PTC 单一登录架构和配置概述指南》)。

要配置由 WINDCHILL_READ 范围所公开的资源，必须添加相应的特性来定义对 securityContext.properties 文件的这种访问。在 Windchill 中，支持配置单一范围。测试是通过一个名为 WINDCHILL_READ 的范围执行的。在此文件中注册的范围也必须在用于管理 SSO 网络中访问令牌交换的中央授权服务器中以及在将要请求数据的服务提供者应用程序中进行注册。

传入的请求必须具有一个访问令牌，且该令牌的必需范围是在给定资源的特性中定义的。这些特性为附加特性，也就是说，如果为同一资源定义了其他范围，则受保护数据的传入请求必须包含已为该资源定义的所有范围。例如，如果除了上述示例范围特性之外，您还创建了另一个特性，且该特性需要 /Windchill/oauth/documents 资源的 "ABC" 范围，则传入的访问令牌将需要 "WINDCHILL_READ" 和 "ABC" 范围才能访问资源。

wt.jwt.oauth2.token.issueAtTime	指定 JWT 访问令牌的发行时间。由此可以确定 JWT 访问令牌的期限。默认值为 900000 millisecond/15min。
wt.jwt.oauth2.token.azure.tenantId	指定 Tenant ID，这是与您的组织名称或域不同的全局唯一标识符 (GUID)。
wt.jwt.oauth2.token.audience	指定客户端 ID。
wt.jwt.oauth2.token.tokenIssuer	将其值指定为 https://sts.windows.net/<tenant_id>/。
wt.jwt.oauth2.token.algorithm	指定用于验证 JWT 访问令牌签名的算法。默认值为 RS256。
wt.jwt.oauth2.token.kidUrl	将其值指定为 https://login.microsoftonline.com/<tenant_id>/discovery/v2.0/keys。

2. 将 securityContext.properties 文件中 wt.jwt.oauth2.token.jwtIdpType 特性的值更新为受支持的第三方 IDP 标识符 (例如 wt.jwt.oauth2.token.jwtIdpType = azure)，该标识符将会发送 JWT 令牌。如果不需要 Azure 特殊验证，则可以选择不为此特性提供任何值。在这种情况下，仅执行标准 JWT 声明验证。

将此位置添加到 Spring root Web 应用程序上下文位置的参数值中。如果已将 securityContext.properties 文件保存在其默认目录中，则以下示例就是有效的。将路径 WEB-INF/security/config/securityContext.xml 添加到 <param-value>config/mvc/applicationContext.xml</param-value> 中。上下文参数的结构应如下所示：

<servlet>
<description>Bridge Servlet for Oauth Access</description>
<servlet-name>OauthAuthBridgeServlet</servlet-name>
<servlet-class>wt.servlet.AuthBridgeServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>OauthAuthBridgeServlet</servlet-name>
<url-pattern>/oauth/*</url-pattern>
</servlet-mapping>

对于任何其他格式，都需要根据上述示例中的指导思路，正确读取响应中的用户名声明。您必须更改 extractAuthentication 方法中的代码来提取正确的声明详细信息。必须更新 <WT_HOME>/codebase/WEB-INF/security/config/ securityContext.xml 文件中的自定义 UserAuthenticationConverter，位置如下：

<bean_id="userTokenConverter" class="com.ptc.eauth.identity.oauth2.rs.PingFederateUserAuthenticationConverter">
<property name="userNameAttribute" value="${wt.oauth2.token.userNameAttribute}"/>
</bean>

import java.util.HashMap;
import java.util.Map;
import org.springframework.security.core.Authentication;
import org.springframework.security.oauth2.provider.token.UserAuthenticationConverter;
import org.springframework.security.web.authentication.preauth.PreAuthenticatedAuthenticationToken;
public class IntrospectionUserAuthenticationConverter implements UserAuthenticationConverter {
public static final String DEFAULT_USERNAME_ATTR = "username";
private String userNameAttribute = DEFAULT_USERNAME_ATTR;
public Map<String, ?> convertUserAuthentication(Authentication userAuthentication) { Map<String, String> map = new HashMap<>(); map.put(this.userNameAttribute, userAuthentication.getName()); return map; }
/** * This method extracts user defined claim name from the token * @param map - token returned from introspection end point * @return - user details extracted from token */
public Authentication extractAuthentication(Map<String, ?> map){
Object principal = null;
for (String key : map.keySet()) {
if (key.equalsIgnoreCase(this.userNameAttribute)) { principal = map.get(key);
break;
}
}
if (principal != null)
{
PreAuthenticatedAuthenticationToken response = new PreAuthenticatedAuthenticationToken(principal, null);
response.setDetails(map);
return (Authentication)response; }
return null; }
public void setUserNameAttribute(String userNameAttribute) {
this.userNameAttribute = userNameAttribute;
}
}