多租户环境下Identity Server中ClientCredentials授权的审计记录问题

针对你提到的M2M场景（无用户参与的机器间调用），可以通过以下几种方式完善审计记录，同时兼顾授权策略的实现：

1. 以Client本身作为操作主体核心标识 #

Client Credentials模式下，调用方本身就是客户端应用，直接将Client的ID和名称作为操作主体记录即可：

• 审计日志示例：客户Bob由客户端OrderSyncService（ID: order-sync-001）更新
• 多租户环境下必须额外关联租户ID，避免不同租户下同名/同功能的Client混淆，比如补充为租户tenant-001下的客户Bob由客户端OrderSyncService（ID: order-sync-001）更新

2. 给M2M Client配置权限/角色，兼顾授权与审计细化 #

虽然没有用户，但可以给Client绑定角色或权限Claims（在Identity Server的Client配置中添加ClientClaims）：

• 授权策略可基于Client的权限，比如要求Client拥有customer:update的权限Claim才能执行更新操作
• 审计时同步记录该Client使用的权限，比如日志中补充权限依据：customer:update，方便回溯操作的权限合法性

3. 补充额外上下文信息（按需细化） #

如果M2M调用是由用户操作间接触发的（比如前端用户触发后台同步任务），可以在请求中携带合法的用户标识：

• 通过自定义Header或在Token中添加自定义Claim传递触发用户的ID，但必须确保该信息经过Identity Server的验证（比如签名或额外Token校验），防止伪造
• 审计日志示例：客户Bob由客户端OrderSyncService（ID: order-sync-001）触发，触发用户ID: 999
• 纯自动任务（如定时同步）可以记录任务ID、触发周期等信息，补充审计上下文

4. 统一审计日志结构，兼容两种授权模式 #

不管是Code Flow（用户操作）还是Client Credentials（M2M操作），统一日志字段便于后续查询分析：

{
  "operationType": "UPDATE",
  "resourceId": "customer-bob-123",
  "timestamp": "2024-05-20T10:30:00Z",
  "tenantId": "tenant-001",
  "subjectType": "CLIENT", // 对应USER或CLIENT
  "subjectId": "order-sync-001",
  "subjectName": "OrderSyncService",
  "permission": "customer:update",
  "result": "SUCCESS"
}

5. 多租户环境的隔离注意事项 #

• 确保Identity Server中的Client是租户隔离的，每个租户的Client拥有独立的ID和配置，禁止跨租户共享Client
• 审计日志必须与租户ID强绑定，查询时严格过滤租户权限，符合多租户数据隔离要求

内容的提问来源于stack exchange，提问作者Sun