应用的角色和范围

本部分将介绍用于保护应用的应用特定角色和范围（权限）。此外，本文还列出了调用 MindSphere API 所需的所有可用角色。 MindSphere 基于 OAuth（使用oAuth Bearer 令牌 RFC 6750）提供了积极的集成式安全概念，您无需实施自己的用户和访问管理。

概念概述

平台上的每个应用和 API 都在端点级别受到保护。要访问这些端点，用户必须具有各自的权限。他们通过 Settings 应用 为他们分配角色以明确授予自己访问的权限。否则，登录 MindSphere 后，应用不会出现在他们的 Launchpad 上或者他们不能访问 API。

同样的安全概念适用于 MindSphere 上的自定义应用。因此，每个应用必须至少提供一个特定于应用的角色和一个特定于应用的范围，以防止未经授权（但已登录）的用户访问它。

MindSphere 管理应用和 APIs 访问的概念基于三个实体：

• 范围
  范围是描述单个权限的最小实体。

• 角色
  角色是多个范围的集合。它可以分配给用户或包含在另一个角色中。

• 令牌
  令牌包含经过身份验证的特定用户的所有范围。应用可以使用令牌来验证是否允许某个用户访问端点。

范围

范围将访问令牌中列出的权限描述为命名参数。当访问 MindSphere 内的端点或应用时，MindSphere 身份和访问管理将自动添加所需的范围到访问令牌中，如果各自的用户拥有访问权限。

范围必须遵循以下命名惯例：{application_name}.{scope}。

角色

角色是范围的集合。它可以通过 Settings 应用分配给用户，也可以添加到应用角色中以授予访问 MindSphere API。例如，添加核心角色 mdsp:core:iot.timUser 到您的应用角色，因此应用可以读取时间序列数据。这样做可以使得所有核心角色的范围能在您的应用的角色中使用。

保护您自己的应用

MindSphere 针对每个应用使用角色、范围和令牌提供安全概念。在开发自定义应用时最重要的 aspects 在下面列出：

• 每个应用可以拥有1-5个应用角色。
• MindSphere 自动为自定义应用生成两个应用角色。
  • admin
  • user
• 开发者可以替换或者移除默认角色并添加自定义应用角色(在上述范围内)。
• 应用角色和范围不特定于版本，并且只能在应用级别上管理。
• 但将应用交付给操作员租户时，将应用当前可用的应用角色和范围。

创建自定义应用角色

1. 在 Launchpad 中打开 Developer Cockpit 并选择**授权管理**选项卡。
2. 切换到**应用角色**副选项卡。
3. 选择应用。
4. 选择**角色**选项卡。

5. 输入至少一个角色名称和描述。

   提示

   以下限制应用：

   • 角色名称限制为最多30个小写字母。
   • 描述限制为最多255个字符。

   使用以下方案创建自定义应用角色：

   ```txt tab="Template" mdsp:{tenant_name}:{application_name}.{role_name}

   ```txt tab="Example"
   mdsp:my_tenant:my_app.tester
   

6. 单击**保存**。

只有当应用处于**已注册**状态时，才会在 Settings 应用中反映应用角色的更改或删除。

访问 MindSphere API

如果您的应用需要访问 MindSphere API，各自的核心角色必须添加到您的应用角色中的一个。调用特定端点所需的范围记录在各自的 API 规范中。提供所有 MindSphere 核心角色及其范围的列表如下。

示例

以下示例显示了如何为在租户上名为 my_tenant 的 time_series_viewer 应用启用对 Assets 和时间序列数据的读权限。

1. 打开 Developer Cockpit 并选择**授权管理**选项卡。
2. 选择应用。已自动为应用生成了两个角色mdsp:mytenant:timeseriesviewer.admin和mdsp:mytenant:timeseriesviewer.user。它们显示为 ADMIN 和 USER。
3. 定义应用的一个范围 timeseriesviewer.all，该范围将向每个端点赋予访问权限(/**)。
4. 将该​​范围分配给两个角色。
5. 为两个角色访问 Asset Management API 添加 Core 角色mdsp:core:assetmanagement:reporter。这是 Asset Management 的 Reporter 角色，它向 assets 赋予读权限。
6. 为两个角色访问Time Series API添加Core角色mdsp:core:iot.timUser，这是 Time Series Services 的 User 角色，它向Time Series数据赋予读权限。

MindSphere API 的可用角色

本部分将介绍开发人员必须使用的所有特定于 MindSphere API 的角色和范围，以针对自定义开发的应用对其进行访问。

Agent Management

Agent Management 的角色和权限定义

mdsp:core:agm.fullaccess

此角色授予对 Agent Management API 的所有读/写权限。

mdsp:core:agm.readonly

此角色授予对 Agent Management API 的只读权限。

Analytics Services

Analytics Service 的角色和权限定义：

• Anomaly Detection
• Event Analytics
• KPI Calculation
• Signal Calculation
• Signal Validation
• Spectrum Analisys
• Trend Prediction

mdsp:core:analytics.user

所有分析服务的基本角色

Asset Management

Asset Management 的角色和权限定义

mdsp:core:assetmanagement.admin

管理员角色允许用户在 Asset Management Service 中创建、读取、更新或删除 assets、asset type、aspect 类型和图像。

mdsp:core:assetmanagement.standarduser

标准用户角色允许用户在 Asset Management Service 中读取或更新 assets 和图像，以及读取 asset type 和 aspect 类型。

mdsp:core:assetmanagement.subtenantuser

子租户用户角色允许用户在 Asset Management Service 中读取 asset 和 aspect 类型、读取或更新 assets，以及读取、更新或删除图像。

mdsp:core:assetmanagement.reporter

报告者角色允许用户在 Asset Management Service 中读取 assets、asset type、aspect 类型和文件。

Data Exchange Service

Data Exchange Service 的角色和权限定义

mdsp:core:dataexch.user

租户可以上传、下载和删除数据的角色。

Data Flow Engine

Data Flow Engine 角色。

mdsp:core:dataflowengine.standarduser

具有所有读取范围的 Data Flow Engine 标准用户角色

Deployment Workflow Service

Device Configuration的角色和权限定义

mdsp:core:dwf.fullaccess

该角色向Deployment Workflow Service赋予全部可读写权限

mdsp:core:dwf.readonly

该角色向Deployment Workflow Service赋予只读权限

Device Configuration

Device Configuration的角色和权限定义

mdsp:core:deviceconfiguration.fullaccess

该角色向DeviceConfiguration APIs赋予全部可读写权限

mdsp:core:deviceconfiguration.readonly

该角色向DeviceConfiguration APIs赋予只读权限

Device Management

Device Management的角色和权限定义

mdsp:core:devicemanagement.devicetypeadmin

该角色向Device Types的Device Management APIs赋予全部可读写权限

mdsp:core:devicemanagement.deviceadmin

该角色向Device Instances的Device Management APIs赋予全部可读写权限

mdsp:core:devicemanagement.devicetypereadonly

该角色向Device Types的Device Management APIs赋予只读权限

mdsp:core:devicemanagement.devicereadonly

该角色向Device Instances的Device Management APIs赋予只读权限

Device Status

Device Status角色和权限定义

mdsp:core:devicestatus.fullaccess

该角色向Device Status APIs赋予全部可读写权限

mdsp:core:devicestatus.readonly

该角色向Device Status APIs赋予只读权限

Edge App Deployment Service

MindConnect Open Edge App Deployment角色和权限定义

mdsp:core:eadplymng.fullaccess

该角色向Edge App Deployment赋予全部可读写权限

mdsp:core:eadplymng.readonly

该角色向Edge App Deployment赋予只读权限

Edge App Instance Management Service

MindConnect Open Edge App Instance Management的角色和权限定义

mdsp:core:eacfgmng.fullaccess

该角色向Edge app configuration management赋予全部可读写权限

mdsp:core:eacfgmng.readonly

该角色向Edge app configuration management赋予只读权限

mdsp:core:ealmng.fullaccess

该角色向Edge app lifecycle management赋予全部可读写权限

mdsp:core:ealmng.readonly

该角色向Edge app lifecycle management赋予只读权限

Event Management

Event Management 的角色和权限定义

mdsp:core:em.eventcreator

此角色授予在 Event Management 系统中创建事件（创建、读取和更新）的权限。

mdsp:core:em.eventmanager

此角色授予在 Event Management 系统中管理所有内容的权限

Firmware Deployment

Firmware Deployment的角色和权限定义

mdsp:core:frmdpylmnt.fullaccess

该角色向Firmware Deployment赋予全部可读写权限

scopes from mdsp:core:dvcinv.readonly

mdsp:core:frmdpylmnt.readonly

该角色向Firmware Deployment赋予只读权限

Identity Management

Identity Management 服务用于管理 MindSphere 中所有授权相关功能。

mdsp:core:im.meIamViewer

此角色授予访问当前用户信息的权限，包括租户的用户 IAM 系统中的已分配角色

mdsp:core:im.userIamAdmin

此角色授予对租户的用户 IAM 系统进行管理（读取和写入）的权限。

mdsp:core:im.userIamViewer

此角色授予对租户的用户 IAM 系统进行只读访问的权限。

IoT File Service

IoT File Service 的角色和权限定义

mdsp:core:iot.filAdmin

此角色授予读取、写入和删除文件的权限。

mdsp:core:iot.filUser

此角色授予读取文件的权限。

IoT Time Series

IoT Time Series Service 的角色和权限定义（时间序列、聚合、订阅和导出）

mdsp:core:iot.timAdmin

此角色授予读取、写入和删除时间序列的权限。

mdsp:core:iot.timUser

此角色授予读取时间序列的权限。

IoT Time Series Aggregates

IoT Time Series Aggregates API 角色。

mdsp:core:iot.tsaUser

授予访问时间序列聚合的权限。

Job Manager Service

Job Manager Service 的角色和权限定义

mdsp:core:jobmgr.user

Mind Connect API

Mind Connect API 的角色和权限定义

mdsp:core:mindconnect.fullaccess

此角色授予对 MindConnect API 的所有读/写权限。

mdsp:core:mindconnect.readonly

此角色授予对 Agent Management API 的只读权限。

Model Management Service

此角色授予用户对 Model Management API 的访问级别。 mdsp:core:amm.user

Notification Service

Notification Service 的角色和权限定义。

mdsp:core:nose.admin

此角色授予使用 Notification Service 管理 API 的权限

mdsp:core:nose.user

此角色授予用户发送消息 API 的权限

Spectrum Analysis Service

Spectrum Analysis Service 的角色和权限定义

mdsp:core:spectrumanalysis.fft.user

Spectrum Analysis Service 用户

Tenant Management Service

Tenant Management 管理租户和子租户。

mdsp:core:tm.tenantAdmin

此角色授予对相应租户的完全管理权限。

mdsp:core:tm.tenantUser

此角色向标准租户用户授予权限。

Usage Transparency Service

Usage Transparency Service 的角色和权限定义

mdsp:core:uts.analyst

此角色授予租户查看使用数据的权限。

还有问题?

向社区提问

除非另行声明，该网站内容遵循MindSphere开发许可协议.