GE Predix平台服务指南之Hello World ： 关于访问控制服务

关于访问控制服务

Predix平台为应用程序开发人员提供访问控制服务（ACS），从而可以在访问网页应用程序和服务时使用粒度级授权机制而无需在其代 码中添加复杂的授权逻辑。ACS在Predix中与用户账号和授权（UAA）一起使用。

注：在您的空间中可以创建的ACS实例的最大数量为200。

访问控制服务提供以下优点：

作为策略和属性维护访问-决策数据的能力。

使用服务的多个客户端的独特安全性，因为ACS服务是租户感知型的。

支持细粒度授权策略。

ACS部署架构

下图显示了如何在Predix中部署ACS服务。

在这个流程中：

一名管理员使用ACS设置策略和用户权限。
一名应用程序用户使用浏览器请求数据。
网页应用程序将授权请求发送至UAA。如果已在UAA中设置该用户，授权请求批准，用户获得授权，令牌签发给网页应用程序。如果 数据请求已经包含了有效的令牌，无需执行这一步。
网页应用程序将数据请求和JWT令牌传递给网页服务。
网页服务根据策略评估使用ACS REST API为用户授权。
一旦用户获得授权，数据即返回网页应用程序。

访问控制服务架构

访问控制服务包括以下主要服务：

策略管理服务为应用程序策略提供CRUD操作。

属性管理服务为用户和资源属性提供CRUD操作。

策略评估服务处理OAuth客户端的策略评估（例如，访问控制）请求。

下图显示了访问控制服务架构。

策略管理服务

策略管理服务允许您（拥有所需权限）创建、读取、更新和删除访问控制策略。安全策略包括一套确定特定主题和资源所需许可的规则。规则可 以考虑用户属性、用户想要完成的操作、资源URL以及进一步描述资源的所有资源属性。

属性管理服务

属性管理服务允许您为用户和资源创建属性。属性是用户或资源的特性，可用于作出访问控制决策。属性根据发布者，即主张该属性的实体，以 及描述该属性的名称进行识别。用户和资源属性的某些示例包括资源所属的组织、网站和小组。属性与访问控制策略一起用于用户授权。

策略评估服务

策略评估服务是一项内部ACS服务，用于根据授权的网页服务请求对策略进行评估。网页服务请求被发送至策略评估服务，然后该服务根据策 略和定义的属性对请求进行评估并返回一个准许请求或拒绝请求的决定。

来自网页服务的请求包括以下内容：

资源信息：请求的相对URI路径。

主题信息：策略评估服务从OAuth2令牌中提取该信息，用于通过网页服务进行授权。

操作信息：用于请求的HTTP方法。

针对工业互联网领域，GE（通用电气公司）通过百多年来在工业领域的深厚积累，耗资数十亿美元打造了工业互联网平台-Predix。

为了让国内开发者第一时间了解试用Predix 平台，及时跟踪了解国际工业互联网的最新技术，GE数字创新坊推出了Predix 开发者试用计划，我们将提供Predix 的基础服务、微服务模块、开发工具等给有兴趣的开发者免费试用，试用期3个月，这将是您进行工业化数字转型的第一步。

Predix提供了一套完整的工业互联网服务和开发平台，其中包括:

Predix Machine: 是负责与工业设备之间通讯连接的软件层，该组件可以安装在工业网关、工业控制器上。

Predix Cloud：是基于Cloud Foundry技术的云端PaaS服务，包括数据挖掘，数据分析，数据整合等诸多模块和服务，是现代工业物联网的云端核心技术。

Predix UX/UI：利用针对工业数据的分析，综合展现各种工业数据，并从中发现存在的问题以及可以优化的环节，从而提高工业的生产力以及设备的利用率。

Predix Account Application
Predix Account Application Form
We will provide you a Predix trial account which expires in three months. The account is only used to develop and assess, not for any commercial purpose. The result of registration subjects to the confirmation email. GE has the right to explain about account registration, management and usage. At the end of the trial period, GE will not keep any developers’ data. Thank you for your cooperation.

今天起至12月25日，请您填写报名信息，GE数字创新坊团队将为您提供Predix试用账号。该账号有效期为三个月，仅作开发评估目的使用，且不应用于任何商业用途。最终注册结果以邮件为准。GE保留对相关账号申请、管理和使用的解释权。试用结束后，GE不保留任何开发者数据。谢谢您！

注意：所有报名人员默认同意链接中的文件与条款。

https://www.predix.io/docs#XKfBUCmp（此链接为英文网站）

另外GE此次与****社区合作落地本次项目，特对参与的开发者有以下福利：

每10名注册开发者试用计划的用户，****随机送出《The Internet of Things》一本，帮助开发者更好的学习和体验物联网。
每20名注册开发者试用计划的用户，****联合GE随机送出小米随身蓝牙音箱一个（Predix定制款），给你带来更多美妙音符。
每位****用户在注册开发者试用计划后，可获取20C币作为社区奖励。
每位注册开发者试用计划的用户，我们会以邮件形式发送Predix产品白皮书，请保持邮箱畅通。
对于试用Predix产品的优秀用户，可以获得****在物联网领域会议和课程的优先参与权，对优秀案例可以获得在****曝光的机会。
打开链接：http://bss.****.net/m/topic/ge/reg或扫描下方二维码参与注册。