使用Cognoto IAM角色的endpoint上的Spring Security？

Question

我试图根据在OAuth2凭证中设置的角色来限制Spring boot服务上的特定endpoint。

这是endpoint

@RestController
@RequestMapping("/api/admin")
public class AdminController {

    @GetMapping(produces = "application/json")
    public TestResponse get() {
        return new TestResponse("Admin API Response");
    }
}

然后使用SecurityConfiguration bean对其进行保护

@Configuration
public class SecurityConfiguration extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {

        http.csrf()
            .and()
            .authorizeRequests()
            .antMatchers("/login", "/", "/home", "/logout", "/ping").permitAll()
            .antMatchers("/api/admin").hasRole("arn:aws:iam::xxxxxx:role/spring-sso-test-ADMIN")
            .antMatchers("/api/user").hasRole("arn:aws:iam::xxxxxx:role/spring-sso-test-USER")
            .and()
            .oauth2Login()
            .and()
            .logout()
            .logoutSuccessUrl("/logout");
    }
}

我调试了委托人，可以在属性列表中看到正确的 IAM 角色 cognito：roles 列表

然而，当我点击endpoint时，我得到一个HTTP 403未授权。这意味着用户已经成功地通过了身份验证，但是Spring不能识别或理解属性或者如何映射它们？

我尝试使用@Secure注释，但这并没有改变任何事情。

@Secured("arn:aws:iam::xxxxxx:role/spring-sso-test-ADMIN")
@GetMapping(produces = "application/json")
public TestResponse get() {
        return new TestResponse("Admin API Response");
}

如何允许它使用 AWS Cognito 中定义的 IAM 角色工作？

Answer 1

当您使用< code>hasRole DSL方法时，Spring Security会将< code>ROLE_前缀添加到您的权限中。因此，权限< code > arn:AWS:iam::XXXXXX:ROLE/spring-SSO-test-ADMIN 将变成< code > ROLE _ arn:AWS:iam::XXXXXX:ROLE/spring-SSO-test-ADMIN 。

您应该改用＜code＞hasAuthority＜code＞方法。

此外，您应该从＜code＞属性，并添加＜code＞权限，因为这是Spring Security将查询以获取权限的属性。

要映射权限，可以使用OAuth2UserService：

@Bean
SecurityFilterChain app(HttpSecurity http) throws Exception {
    http
            .oauth2Login(oauth2 -> oauth2
                .userInfoEndpoint(userInfo -> userInfo
                    .oidcUserService(this.oidcUserService())
                    ...
                )
            );
    return http.build();
}

private OAuth2UserService<OidcUserRequest, OidcUser> oidcUserService() {
    // your custom implementation
}

更多细节请留档。