У нас есть настройка WSO2AM (2.2.0), где WSO2IS-KM используется в качестве диспетчера ключей, а в DMZ есть шлюз API.API GW вызывает KM во внутренней сети для проверки токена доступа с помощью WSClient.
Проблема, которую я вижу, состоит в том, что учетные данные, используемые для вызова службы проверки ключей, являются учетными данными администратора.Таким образом, в случае компрометации DMZ учетные данные службы могут использоваться для вызова любой службы администратора в KM (включая, я полагаю, манипулирование пользовательскими хранилищами).
Имеется ли конкретное разрешение, которое мы могли бы назначить клиенту шлюза,таким образом, шлюз мог бы проверять токены доступа, но не вызывать другие службы администратора?
Другой вариант - ограничение доступа к KM из DMZ на уровне прокси-сервера HTTP, отображая только определенный URL-адрес (службу).Есть ли список служб, специфичных для KeyManager?