WSO2集成Orion与Authzforce实现访问控制及PIP对接可行性问询

你描述的「WSO2做前置授权网关、校验通过后转发请求到Orion」的架构完全可行，这是API网关做权限收口的典型落地场景，生产环境已有大量成熟实践。

• 首先部署WSO2 API Manager作为统一流量入口，将Orion提供的实体操作接口（增删改查等）全部发布为WSO2的受管API，配置API的后端上游地址为你的Orion服务实例访问地址。
• 然后配置WSO2的授权规则，可按需选择两种校验维度：
  • 基础校验：要求所有请求方携带WSO2签发的有效JWT/OAuth2令牌，WSO2自动完成令牌有效性、过期时间、签发方的校验，无效请求直接拦截返回401。
  • 细粒度权限校验：基于请求方的角色、请求的HTTP方法、请求访问的Orion实体ID/类型等属性做匹配，仅放行符合预设规则的请求。
• 最后配置WSO2的转发规则，校验通过的请求会自动透传到Orion，同时可按需附加限流、审计日志、熔断等网关能力。

WSO2完全支持对接Authzforce作为外部PIP（策略信息点），二者都兼容XACML 3.0标准，集成步骤如下：

• 登录WSO2管理控制台，进入Entitlement Engine配置页，新增外部PIP实例，填入Authzforce的服务访问地址、鉴权凭证。
• 配置属性映射规则：将WSO2侧获取到的请求属性（请求方ID、请求资源路径、HTTP方法等）透传给Authzforce，同时拉取Authzforce侧存储的用户权限范围、Orion实体访问权限等属性。
• 在WSO2的对应API授权策略中添加XACML策略校验节点，后续请求校验时会自动调用Authzforce拉取属性完成权限判定，仅判定结果为「允许」的请求才会被放行转发到Orion。

如果需要实现Orion实体级的细粒度权限控制，可提前将Orion的实体ID、实体所属组织等属性同步到Authzforce，在策略中配置对应匹配规则即可。

内容的提问来源于stack exchange，提问作者Fernando Ramos