基于FIWARE实现IoT设备属性级细粒度访问控制可行性咨询

FIWARE原生完全支持属性级授权，可通过其安全组件栈实现对IoT设备特定属性的访问控制，具体实现方式如下：

核心组件组合 #

依赖FIWARE三大安全组件协同工作：

• Keyrock：负责身份管理，维护客户端、设备的身份与角色信息
• Wilma：PEP（策略执行点）代理，拦截所有访问Orion-LD的请求
• AuthzForce：PDP（策略决策点），依据预定义规则评估请求权限

属性级授权的具体实现 #

1. 编写细粒度XACML策略
   在AuthzForce中创建基于XACML的授权规则，精准匹配NGSI-LD的请求场景：

   • 针对单属性查询请求（GET /ngsi-ld/v1/entities/{entityId}/attrs/{attrId}），规则可限定特定客户端仅能访问指定实体的某个属性（例如仅允许客户端A读取设备device001的temperature属性）
   • 针对批量属性请求，规则可明确允许或拒绝访问实体的属性列表集合

2. 配置代理与Broker集成
   确保所有访问Orion-LD的请求都经过Wilma代理，Wilma会自动提取请求中的身份信息、目标实体/属性信息，转发至AuthzForce进行权限校验，只有通过校验的请求才会被转发到Orion-LD处理

3. 区分设备上报与客户端读取权限

   • 对于IoTAgent上报设备数据的请求，可单独设置策略，确保设备仅能上报自身被授权的属性，防止越权上报
   • 对于客户端读取数据的请求，基于角色或身份分配不同的属性访问权限，实现所有者授权的细粒度控制

注意事项 #

• 禁止直接访问Orion-LD的端点，必须通过Wilma代理，否则会绕过权限控制
• XACML规则需要结合NGSI-LD的请求结构编写，确保规则能准确匹配目标属性
• 可通过Keyrock的角色管理功能，将相同属性访问权限的客户端归为同一角色，简化策略的维护与管理

内容的提问来源于stack exchange，提问作者pirip10