Testen Sie Ihr Autorisierungsmodell

Um zu verstehen, wie sich die Autorisierungsentscheidung von Amazon Verified Permissions bei der Bereitstellung Ihrer Anwendung auswirkt, können Sie Ihre Richtlinien bei der Entwicklung mit den Verwenden des Amazon Verified Permissions-Testbench und mit HTTPS REST API Anfragen an Verified Permissions bewerten. Der Prüfstand ist ein Tool AWS Management Console zur Bewertung von Autorisierungsanfragen und Antworten in Ihrem Richtlinienspeicher.

Verifizierte Berechtigungen REST API sind der nächste Schritt in Ihrer Entwicklung, wenn Sie von einem konzeptionellen Verständnis zum Anwendungsdesign übergehen. Die verifizierten Berechtigungen API akzeptieren Autorisierungsanfragen mit IsAuthorizedIsAuthorizedWithToken, und BatchIsAuthorizedals signierte AWS API Anfragen an regionale Dienstendpunkte. Um Ihr Autorisierungsmodell zu testen, können Sie Anfragen für jeden API Client generieren und überprüfen, ob Ihre Richtlinien die Autorisierungsentscheidungen erwartungsgemäß zurückgeben.

Mit dem folgenden Verfahren können Sie beispielsweise IsAuthorized in einem Beispiel-Richtlinienspeicher testen.

Test bench

1. Öffnen Sie die Konsole Verified Permissions unter https://console.aws.amazon.com/verifiedpermissions/. Erstellen Sie aus dem Beispielrichtlinienspeicher einen Richtlinienspeicher mit dem Namen DigitalPetStore.

2. Wählen Sie in Ihrem neuen Richtlinienspeicher die Option Testbench aus.

3. Füllen Sie Ihre Prüfstandsanfrage IsAuthorizedin der API Referenz „Verifizierte Berechtigungen“ aus. Die folgenden Details entsprechen den Bedingungen in Beispiel 4, das auf die DigitalPetStoreProbe verweist.

   1. Stellen Sie Alice als Principal ein. Wählen Sie für Principal taking action aus DigitalPetStore::User und geben Sie einAlice.

   2. Lege Alices Rolle als Kunde fest. Wählen Sie Elternteil hinzufügenDigitalPetStore::Role, wählen Sie und geben Sie Kunde ein.

   3. Geben Sie als Ressource die Bestellung „1234" ein. Wählen Sie unter Ressource, auf die der Principal reagiert, DigitalPetStore::Order und geben Sie ein1234.

   4. Die DigitalPetStore::Order Ressource benötigt ein owner Attribut. Lege Alice als Eigentümerin der Bestellung fest. Wähle DigitalPetStore::User und gib ein Alice

   5. Alice wollte die Bestellung einsehen. Wählen Sie für Aktion, die der Schulleiter gerade ergreift, die OptionDigitalPetStore::Action::"GetOrder".

4. Wählen Sie Autorisierungsanfrage ausführen aus. In einem unveränderten Richtlinienspeicher führt diese Anfrage zu einer ALLOW Entscheidung. Notieren Sie sich die Richtlinie „Zufrieden“, die die Entscheidung zurückgegeben hat.

5. Wählen Sie in der linken Navigationsleiste Richtlinien aus. Überprüfen Sie die statische Richtlinie mit der Beschreibung Kundenrolle — Bestellung abrufen.

6. Beachten Sie, dass Verified Permissions die Anfrage zugelassen hat, weil der Principal eine Kundenrolle innehatte und der Eigentümer der Ressource war.

REST API

1. Öffnen Sie die Konsole Verified Permissions unter https://console.aws.amazon.com/verifiedpermissions/. Erstellen Sie aus dem Beispielrichtlinienspeicher einen Richtlinienspeicher mit dem Namen DigitalPetStore.

2. Notieren Sie sich die Policy-Store-ID Ihres neuen Policy-Speichers.

3. Kopieren Sie aus IsAuthorizedder API Referenz „Verifizierte Berechtigungen“ den Anfragetext von Beispiel 4, der auf das DigitalPetStoreBeispiel verweist.

4. Öffnen Sie Ihren API Client und erstellen Sie eine Anfrage an den regionalen Service-Endpunkt für Ihren Richtlinienspeicher. Füllen Sie die Header wie im Beispiel gezeigt aus.

5. Fügen Sie den Text der Beispielanforderung ein und ändern Sie den Wert von in policyStoreId die zuvor notierte Policy Store-ID.

6. Reichen Sie die Anfrage ein und überprüfen Sie die Ergebnisse. In einem DigitalPetStoreStandardrichtlinienspeicher gibt diese Anfrage eine ALLOW Entscheidung zurück.

Sie können in Ihrer Testumgebung Änderungen an Richtlinien, Schemas und Anforderungen vornehmen, um die Ergebnisse zu ändern und komplexere Entscheidungen zu treffen.

1. Ändern Sie die Anfrage so, dass die Entscheidung unter Verifizierte Berechtigungen geändert wird. Ändern Sie beispielsweise Alices Rolle auf Employee oder ändern Sie das owner Attribut der Bestellung 1234 aufBob.

2. Ändern Sie Richtlinien so, dass sie sich auf Autorisierungsentscheidungen auswirken. Ändern Sie beispielsweise die Richtlinie mit der Beschreibung Kundenrolle — Bestellung abrufen, um die Bedingung zu entfernen, dass der Eigentümer der Anfrage sein User muss, Resource und ändern Sie die Anfrage so, dass der Kunde die Bestellung einsehen Bob möchte.

3. Ändern Sie das Schema, damit Richtlinien komplexere Entscheidungen treffen können. Aktualisieren Sie die Anforderungsentitäten, damit Alice die neuen Anforderungen erfüllen kann. Bearbeiten Sie das Schema beispielsweise so, dass User Sie Mitglied von ActiveUsers oder sein könnenInactiveUsers. Aktualisieren Sie die Richtlinie, sodass nur aktive Benutzer ihre eigenen Bestellungen einsehen können. Aktualisieren Sie die Anforderungsentitäten, sodass Alice ein aktiver oder inaktiver Benutzer ist.