https://engine.speedle.io/zh/tags/guide/ Recent content in Guide on Speedle Hugo -- gohugo.io zh-cn Fri, 18 Jan 2019 21:19:44 +0800 https://engine.speedle.io/zh/docs/api/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/api/ Java、Python、Go、.NET、Rust 和 Node.js/TypeScript 的客户端库见 SDK。 REST API 这些接口说明面向你配置的 PMS、ADS 或断言服务端点。speedle.io 提供文档与浏览器 Playground，不托管 PMS/ADS 后端。发送 JSON 时必须设置 Content-Type: application/json，并配置 TLS/mTLS 与调用方访问控制。 策略管理 API 授权决策 API 令牌断言 webhook 策略和角色策略的 ID 是字符串，PMS 返回扁平对象；授权权限字段为复数 permissions。REST 决策请求使用带类型的属性数组，诊断响应及断言 webhook 的属性则为对象。 gRPC API PMS proto：pb.PolicyManager ADS proto：pb.Evaluator 当前 proto 必须与生成客户端配套使用。PMS 的服务名为 pb.PolicyManager，ADS 为 pb.Evaluator。这两份历史协议重用了消息名，应分别生成和加载，不要合并进同一 descriptor set。默认不启用 gRPC；需通过 --grpc-endpoint 显式开启，其 TLS 配置与 REST 相同。 历史 gRPC 的 ContextRequest.attributes 是字符串 map，不是 REST 的带类型属性数组，也不提供同样的数值、布尔、日期类型。条件需要这些类型时，应使用 REST 或嵌入式 Go，除非你的 gRPC 适配层明确实现了相应转换。 https://engine.speedle.io/zh/docs/api/decision_api/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/api/decision_api/ 已配置 ADS 的接口参考。请求属性是带类型的数组，诊断响应属性是对象。 请配置安全连接与端点访问控制。这是接口契约，speedle.io 不托管授权后端。 (function() { var url = "\/swagger\/policy-check.zh.yaml"; const ui = SwaggerUIBundle({ url: url, dom_id: '#swagger-ui', deepLinking: true, presets: [ SwaggerUIBundle.presets.apis ], plugins: [ SwaggerUIBundle.plugins.DownloadUrl ], validatorUrl: null, layout: "BaseLayout" }) window.ui = ui })(); https://engine.speedle.io/zh/docs/api/management_api/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/api/management_api/ 已配置 PMS 的接口参考。请求与响应使用 JSON，策略 ID 为字符串，响应为扁平对象。 请配置安全连接与端点访问控制。这是接口契约，speedle.io 不托管授权后端。 (function() { var url = "\/swagger\/policy-manage.zh.yaml"; const ui = SwaggerUIBundle({ url: url, dom_id: '#swagger-ui', deepLinking: true, presets: [ SwaggerUIBundle.presets.apis ], plugins: [ SwaggerUIBundle.plugins.DownloadUrl ], validatorUrl: null, layout: "BaseLayout" }) window.ui = ui })(); https://engine.speedle.io/zh/docs/pms/ Fri, 18 Jan 2019 21:19:44 +0800 https://engine.speedle.io/zh/docs/pms/ Policy Management Global Policy Policy Discovery Policy Diagnosis https://engine.speedle.io/zh/docs/api/asserter_api/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/api/asserter_api/ 令牌断言 webhook 参考。errCode 为整数，attributes 为对象。实际端点由 ADS 断言配置指定。 请配置安全连接与端点访问控制。这是接口契约，speedle.io 不托管授权后端。 (function() { var url = "\/swagger\/asserter.zh.yaml"; const ui = SwaggerUIBundle({ url: url, dom_id: '#swagger-ui', deepLinking: true, presets: [ SwaggerUIBundle.presets.apis ], plugins: [ SwaggerUIBundle.plugins.DownloadUrl ], validatorUrl: null, layout: "BaseLayout" }) window.ui = ui })(); https://engine.speedle.io/zh/docs/usecases/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/usecases/ 嵌入到 GO 语言编写的应用程序 张先生是一个程序员，他用 GO 语言开发了一套应用系统，现在他希望在这套系统中增加权限控制功能。他可以在程序中直接调用 Speedle 的 GO API 轻松完成任务。 利用 Speedle 管理应用系统的权限 H 公司正在开发一套远程医疗系统。健康数据属于个人隐私，根据合规的需要，H 公司必须提供严格的权限控制，确保每位用户只能接触到自己的数据。该系统还需定期接受第三方机构的审计。H 公司使用 Speedle 来达成一下目标： 构建 RBAC/ABAC 兼容的授权模型 自然语言定义的授权策略，方便审计部门分析审计 详尽的审计数据，可以跟踪用户每一次访问 利用 Speedle 集中管理组织内所有信息系统 陈先生是某大型跨国公司的信息安全负责人。在过去的十年里该公司飞速发展，并购了数十家中小型公司。这给陈先生和他的团队出了个难题，被并购的公司都有自己的信息系统，实现这些信息系统的技术各不相同。有基于 JavaEE 的，有基于 NodeJS 的，有 Ruby on Rails，还有基于 CORBA 的遗留系统。这些系统的权限管理机制也不一致，有的是硬编码的权限管理模块，有的基于 JaaS，有的基于 OASIS XACML，有些策略模型是 RBAC，有些是 ABAC，有些是普通的 ACL，甚至有些是原始的黑名单白名单。陈先生和他的团队为了管理这些系统不得不学习数十种权限模型和语言，每次修改授权策略需要在数十个系统上做不同的操作。非常繁琐也容易出现错误。 如何解决这个问题？Speedle 能帮上忙。 Speedle 的授权策略语言足够灵活，可以完美支持 ABAC，RBAC，ACL 等各种流行的模型。 Speedle 提供 REST，gRPC 和 GO API，很容易和各种系统集成。 Speedle 可以支持百万量级的授权策略，足够支持一个企业的所有业务需求。 Speedle 运行速度很快，可以在数毫秒内处理一个授权请求。不会拖慢现有系统。 一个 Speedle 实例每秒钟可以处理 30,000 - 40,000 次并发授权请求。如果这还不够，再启动一个实例，Speedle 有几乎无限的可扩展性。 基于以上特性，陈先生可以启动一组 Speedle 服务，把各个系统的权限控制模块指向 Speedle 服务。这样就可以用统一个授权模型和语言来管理这些系统了。 https://engine.speedle.io/zh/docs/security/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/docs/security/ 同时保护两种 API 传输 独立运行的 PMS 与 ADS 都提供 REST 和 gRPC。现在两者共同使用 --insecure、--cert、--key、--client-cert 和 --force-client-cert 配置。证书或信任配置无效时启动失败，安全模式不会降级为明文。 TLS 加密连接并认证服务端。若要强制认证客户端，必须通过 --client-cert 提供客户端 CA，同时设置 --force-client-cert=true。只提供 CA 时，仅在客户端主动发送证书的情况下验证该证书。TLS 本身不决定谁有管理员权限，也不提供 Bearer token 校验。管理、诊断、发现接口需要认证网关或等价的访问控制。--enable-authz 参数不提供内置的端点授权策略。 监听地址与兼容性 服务 默认 REST 地址 默认 gRPC 地址 PMS 0.0.0.0:6733 默认关闭；需设置 --grpc-endpoint ADS 0.0.0.0:6734 默认关闭；需设置 --grpc-endpoint REST 与 gRPC 的地址分别配置。仅设置 --endpoint 不会启用 gRPC；请显式使用 --grpc-endpoint 127.0.0.1:50001（PMS）或 127.0.0.1:50002（ADS）。127.0.0.1:0 为隔离测试选择临时端口。需要 IPv6 时显式指定 IPv6 监听地址。 https://engine.speedle.io/zh/developer/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/developer/ 待完善 策略管理员 了解 SPDL 基础并建立策略模型 部署应用 使用策略发现模式 使用策略管理服务 API 应用开发者 了解 SPDL 基础 策略管理服务 API 授权决策服务 API 令牌断言 API https://engine.speedle.io/zh/devops/ Mon, 01 Jan 0001 00:00:00 +0000 https://engine.speedle.io/zh/devops/ 待完善 策略调试？ 策略管理员 了解 SPDL 基础并建立策略模型 部署应用 使用策略发现模式 使用策略管理服务 API 应用开发者 了解 SPDL 基础 策略管理服务 API 授权决策服务 API 令牌断言 API