Übersicht über die Authentifizierung für nicht authentifizierte Aufrufer
Zur Authentifizierung gehören in der Regel die Anmeldeinformationen und die Autorisierung. Nicht authentifizierte Aufrufer verfügen jedoch über keine Anmeldeinformationen und nur über eine begrenzte Standardautorisierung.
Anmeldeinformationen
Per Definition hat ein nicht authentifizierter Benutzer keine Anmeldeinformationen.
Autorisierung
Endpunktzugriff für nicht authentifizierte Aufrufer
Der Endpunktzugriff definiert die Verhaltensweisen eines Endpunkts, die für einen Aufrufer verfügbar sind, genauer. Dazu gehören:
- Welche Endpunkte und Ressourcentypen stehen dem Aufrufer zur Verfügung?
- Welche Operationen kann ein Aufrufer am verfügbaren Endpunkt aufrufen?
- Welche Felder kann der Aufrufer in den Anforderungs-Nutzdaten angeben oder in den Antwort-Nutzdaten abrufen?
Der Endpunktzugriff wird durch API-Rollen gesteuert. Eine API-Rolle ist eine Liste von Endpunkten, Operationen und Feldern, die für ein Set von Aufrufern über API-Aufrufe verfügbar sind. API-Rollen fungieren als Allowlists. Standardmäßig hat ein Aufrufer keinen Endpunktzugriff. Wenn der Aufrufer mit einer oder mehreren API-Rollen verknüpft ist, erhält er Zugriff auf die in jeder dieser API-Rollen aufgeführten Endpunkte, Operationen und Felder.
Wenn ein nicht authentifizierter Aufrufer einen System-API-Aufruf durchführt, weisen die System-APIs diesen automatisch die Rolle „Nicht authentifiziert“ zu. In der Basiskonfiguration stellt diese Rolle zwei Typen von Zugriff bereit:
- Zugriff auf
openapi.json-Endpunkte - Zugriff auf POST für die Endpunkte
/accounts,/accounts/*/contactsund/accounts/*/locations. Dies ist Teil des Authentifizierungsablaufs für anonyme Benutzer.
Weitere Informationen zur Konfiguration von API-Rollen finden Sie unter Endpunktzugriff.
Ressourcenzugriff für nicht authentifizierte Aufrufer
Der Ressourcenzugriff definiert für einen bestimmten Ressourcentyp, auf welche Instanzen dieses Ressourcentyps der Aufrufer zugreifen kann. Als Beispiel folgende Annahme: Es gibt einen GET /claims-Endpunkt, der für Versicherungsnehmer, Underwriter, Schadenregulierer und Serviceanbieter verfügbar ist. Alle diese Aufrufer können mit dem Endpunkt auf Ressourcen zugreifen, deren Typ claim ist. Keiner der Aufrufer kann jedoch auf alle Schadenfälle zugreifen. Zum Beispiel:
- Einem Versicherungsnehmer werden möglicherweise nur die Schadenfälle angezeigt, die den von ihm gehaltenen Policen zugeordnet sind.
- Einem Underwriter werden möglicherweise nur die Schadenfälle für die ihm zugewiesenen Policen angezeigt.
- Einem Schadenregulierer werden möglicherweise nur die ihm zugewiesenen Schadenfälle angezeigt.
- Einem Serviceanbieter werden möglicherweise nur die Schadenfälle angezeigt, denen eine Serviceanforderung zugewiesen ist.
Eine Ressourcenzugriffsstrategie ist ein Logiksatz, der die Bedeutung einer Ressourcenzugriffs-ID identifiziert. Nicht authentifizierten Aufrufern wird automatisch die default-Ressourcenzugriffsstrategie zugewiesen. Diese Strategie bietet keinen Zugriff auf Geschäftsressourcen. Sie bietet nur Zugriff auf System-API-Metadaten.
| Name der Strategie | Rolle, die diese Strategie verwendet | Für die Ressourcenzugriffs-ID wird angenommen... | Gewährt Zugriff auf... |
|---|---|---|---|
Standard |
Aufrufer, die keine Ressourcenzugriffsstrategie präsentiert haben | Nicht zutreffend | Nur Metadatenressourcen (z. B. openapi.json) |
Weitere Informationen zum Verhalten des Ressourcenzugriffs finden Sie unter Ressourcenzugriff.
Proxy-Benutzerzugriff für nicht authentifizierte Aufrufer
Wenn ein Aufrufer einen System-API-Aufruf durchführt, kann die interne Logik von PolicyCenter Prüfungen auslösen, die in keinem Zusammenhang mit dem Endpunkt- oder Ressourcenzugriff stehen. Zum Beispiel:
- Ein Aufrufer kann versuchen, sich selbst eine Aktivität zuzuweisen. PolicyCenter muss prüfen, ob der Aufrufer über ausreichende Berechtigungen zum Besitz einer Aktivität verfügt.
- Beispielsweise kann ein Aufrufer versuchen, eine Unfalldeckung mit einem Selbstbehalt von weniger als 1000 $ zu erstellen. PolicyCenter muss prüfen, ob der Betrag der Deckungsbedingung innerhalb des Vollmachtsrahmens des Aufrufers liegt.
Nicht authentifizierte Benutzer sind nicht in der PolicyCenter-Betriebsdatenbank aufgeführt und haben daher keine Systemberechtigungen oder Vollmachtsrahmen. In dem unwahrscheinlichen Fall, dass ein nicht authentifizierter Benutzer eine interne Überprüfung auslöst, verwenden die System-APIs Proxy-Benutzer. Ein Proxy-Benutzer ist ein interner Benutzer, der einem externen Benutzer oder Service zugewiesen wird, wenn ein externer Benutzer oder Service einen API-Aufruf auslöst. Wenn die interne Logik von PolicyCenter prüfen muss, ob der Aufrufer über ausreichenden Zugriff verfügt, wird der Proxy-Benutzer überprüft.
Weitere Informationen zum Verhalten des Proxy-Benutzerzugriffs finden Sie unter Proxy-Benutzerzugriff.
JWTs für nicht authentifizierte Aufrufer
Nicht authentifizierte Aufrufer haben kein JWT. Ihnen werden automatisch die API-Rolle „Nicht authentifiziert“ und die default-Ressourcenzugriffsstrategie zugewiesen. In der Basiskonfiguration bietet diese Rolle nur Zugriff auf API-Metadaten.
Protokollierung
Für jeden Aufruf werden Informationen über den Aufrufer protokolliert. In der folgenden Tabelle sind die Felder aufgeführt, die Informationen darüber enthalten, wer der Aufrufer ist und woher der protokollierte Wert stammt.
| Feld | Wert |
|---|---|
sub |
Der Wert des sub-Token-Claims aus dem JWT |
clientId |
Der Wert des cid-Token-Claims aus dem JWT |
user |
Eine leere Zeichenkette |