请求提供WebLogic安全领域角色创建及添加条件的WLST脚本命令

我刚好做过类似的WLST自动化配置，下面给你完整的脚本示例，涵盖创建全局角色并添加LDAP用户条件的全流程，每一步都加了注释方便你理解：

完整WLST脚本 #

# --------------------------
# 1. 连接到WebLogic管理服务器
# 替换为你的实际用户名、密码和管理服务器地址端口
# --------------------------
connect('weblogic', 'your_secure_password', 't3://localhost:7001')

# --------------------------
# 2. 获取安全域和角色映射器
# --------------------------
# 获取默认安全域（对应你操作的myrealm）
realm = cmo.getSecurityConfiguration().getDefaultRealm()

# 获取XACML角色映射器，这是WebLogic管理全局角色的核心组件
roleMapper = realm.lookupRoleMapper("XACMLRoleMapper")

# --------------------------
# 3. 创建新的全局角色
# --------------------------
# 定义角色名称和描述，替换为你的实际需求
new_role_name = "MyCustomLDAPRole"
new_role_desc = "Global role assigned to specific LDAP users"

# 创建全局角色：第二个参数设为False表示是全局角色（True为应用角色）
new_global_role = roleMapper.createRole(new_role_name, False)
new_global_role.setDescription(new_role_desc)

# --------------------------
# 4. 添加LDAP用户作为角色条件
# --------------------------
# 构造XACML条件：匹配指定的LDAP用户名（替换为你的目标LDAP用户）
# 这个条件的逻辑是：当访问主体的ID等于指定的LDAP用户名时，授予该角色
user_condition = """<Condition xmlns="urn:oasis:names:tc:xacml:2.0:policy:schema:os">
    <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
        <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" DataType="http://www.w3.org/2001/XMLSchema#string" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" MustBePresent="true"/>
        <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">ldap_user_john</AttributeValue>
    </Apply>
</Condition>"""

# 将条件绑定到新创建的全局角色
new_global_role.setCondition(user_condition)

# --------------------------
# 5. 保存并激活配置更改
# --------------------------
# 保存配置到域
save()

# 激活更改（生产模式必须执行，开发模式可能自动激活，建议都加上）
activate(block="true")

# --------------------------
# 6. 断开连接并退出WLST
# --------------------------
disconnect()
exit()

扩展说明 #

1. 添加多个LDAP用户 #

如果需要给多个LDAP用户授予该角色，可以修改条件为string-or逻辑，示例如下：

multi_user_condition = """<Condition xmlns="urn:oasis:names:tc:xacml:2.0:policy:schema:os">
    <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-or">
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" DataType="http://www.w3.org/2001/XMLSchema#string" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" MustBePresent="true"/>
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">ldap_user_john</AttributeValue>
        </Apply>
        <Apply FunctionId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeDesignator AttributeId="urn:oasis:names:tc:xacml:1.0:subject:subject-id" DataType="http://www.w3.org/2001/XMLSchema#string" Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" MustBePresent="true"/>
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">ldap_user_jane</AttributeValue>
        </Apply>
    </Apply>
</Condition>"""

# 替换之前的条件
new_global_role.setCondition(multi_user_condition)

2. 注意事项 #

• 请务必替换脚本中的用户名、密码、管理地址、角色名称、LDAP用户名为你的实际环境值
• 生产环境中不要明文存储密码，建议使用WebLogic的加密密码工具，或者从安全文件中读取密码
• 运行脚本前确保已经配置好WebLogic的环境变量，比如通过$WL_HOME/common/bin/wlst.sh（Linux）或%WL_HOME%\common\bin\wlst.cmd（Windows）启动WLST
• 如果你的安全域不是默认的myrealm，需要调整获取realm的逻辑，比如使用realm = cmo.getSecurityConfiguration().lookupRealm("your_realm_name")

内容的提问来源于stack exchange，提问作者Alok Singh