安全的匿名的令牌
概述

开始
需求
框架管理访问(客户、组织或帐户级别)。

启用管理API访问。

安全匿名令牌提供商启用了Launchpad用户。

托管安全匿名令牌API集成的Web服务器。

REST API凭证
创建新的API集成
有两种方法可以开始这个过程:

从帐户的仪表盘，导航到“用户”页面。

如果您从Admin视图开始，导航到您希望更新的实体(客户、组织或帐户)，然后单击旁边列出的省略号以选择“Users”。

启用“API”切换和保存-一个名为“API”的新标签将出现。

点击API标签，然后点击“添加API”链接。

给这个新的API集成起个名字;在这个例子中，我们将使用“API来创建匿名令牌”。然后，根据下面的场景选择角色和范围。

对于帐户级集成，请选择API -生成匿名账户令牌角色，以及您要为其配置访问权限的帐户。

对于组织或客户级别的集成，您需要指定API -生成匿名组织令牌和API -生成匿名客户令牌,分别。

点击“添加”，新的API将显示在API列表中。单击新API的选项菜单，并选择“管理凭据”。

系统将提示您创建一个新的API键—首先为它指定一个名称，然后单击右边的PLUS按钮。

现在您将看到您的客户端ID和客户端秘密。将这些值复制到安全的地方，因为您将无法在离开此屏幕后再次看到这个秘密。

就是这样!现在您已经准备好在下一节中添加SAT提供者了。

创建安全匿名令牌提供者
有两种方法可以开始这个过程:

从帐户的仪表盘，导航到“用户”页面，您将登陆身份验证选项卡。

如果从Admin视图开始，导航到实体(客户、组织或帐户)并单击旁边列出的省略号以选择“Users”。

启用下面的安全匿名选项身份验证并保存;一个新的安全匿名标签将显示出来。

单击“安全匿名”选项卡，然后单击“添加提供程序”链接。

系统将提示您描述和配置新的安全匿名提供者。可以指定如下:

匿名提供程序属性

描述

简短描述您计划使用匿名令牌提供商做什么(例如，公开试验)

令牌时间

令牌过期并不再有效的时间。

角色和范围

角色通常是launchpad用户，范围是您希望通过这些令牌提供访问的帐户/ launchpad。

给它一个对你的用例有意义的描述，例如“产品试用令牌提供商”。然后，设置您想要的令牌持续时间。最后，选择角色和范围——出于安全原因，我们建议仅为Launchpad Users配置角色。

您的新的匿名访问提供程序将出现。单击提供者旁边的省略号并选择“Playground”。测试使用新的提供者生成令牌，以及演示如何请求令牌的各种语法示例。

生成安全匿名令牌
安全注意事项
警告

保护处理SAT请求的自托管端点是您的责任。澄清一下，不应该有公共网站上的URL可以打印出免费的令牌给任何访问者——避免这种情况并使用最佳实践将有助于防止未经授权的访问、资源滥用、法律问题，或更糟的情况。

# !/bin/env python进口hashlib进口hmac进口时间进口请求进口base64#客户端证书client_id＝"<你的API客户端ID到这里>"client_secret＝b"<你的API客户端秘密到这里>"#创建签名时间戳＝int（时间．时间())to_sign＝＂% s % s＂％（时间戳，client_id）签名＝hmac．新（client_secret，to_sign．编码（“utf - 8”)，hashlib．sha256）．hexdigest（）#准备http请求头头＝｛“X-Frame-ClientId”：client_id，“X-Frame-Timestamp”：str（时间戳)，“X-Frame-Signature”：签名｝#包括可选参数，如first_name, last_name, email_domain, email或元数据。身体＝｛｝#让请求r＝请求．帖子（"https://api.console.nutanix.com/v1/<实体类型这里(客户，组织，或帐户)>/<实体ID到这里>/ Secure -anonymous/<安全匿名提供商ID到这里>/token "，头＝头，数据＝身体）#打印响应(JWT)打印（r．json())

无名令牌参数
第一个名字

姓

电子邮件地址

电子邮件域

**可选匿名令牌参数**
的名字	类型	描述
first_name	字符串	例如“约翰”。
last_name	字符串	例如“史密斯”。
电子邮件	字符串	例子:john.smith@acme.com
email_domain	字符串	例子:acme.com．这将返回`xxxxxxx@acme.com`．
元数据	对象	包含您想要为用户/令牌提供的任何附加信息的对象。

元数据 Github这将演示如何填充元数据，并在生成令牌之后对其进行查询。在下面的示例中，我们将使用这个存储库中的代码片段。

填充元数据

first_name：“杰森”，last_name：“汤普森”，电子邮件：“jason.123456@acme.com”，元数据：｛exampleId：123456，语言：“EN”，时区：“PT”｝

查询元数据 https://cpanel-backend-prod.frame.nutanix.com/api/rest/v1/me/assertions．

               异步函数getUserAssertions（令牌）｛常量结果＝等待axios({url：“https://cpanel-backend-prod.frame.nutanix.com/api/rest/v1/me/assertions”，头：｛授权：不记名的$ {令牌｝｀}，})；返回结果．数据；｝
              

从Windows中检索元数据 FRAME_SESSION_TOKEN．这个会话令牌与用于启动会话的令牌不同(不能用于启动会话)，但它与同一用户相关。这个令牌还需要一个不同的端点来查询断言。下面是如何在Powershell (5.x)中实现这一点的一个例子:

               #设置Powershell 5.x的TLS兼容性【净。ServicePointManager]：：SecurityProtocol＝【净。SecurityProtocolType]：：Tlsbor【净。SecurityProtocolType]：：Tls11bor【净。SecurityProtocolType]：：Tls12sessionToken美元＝“env美元:FRAME_SESSION_TOKEN”美元的uri＝“https://messaging.frame.nutanix.com/api/rest/v1/me/assertions”美元的头＝@ {“授权”＝“不记名sessionToken美元”｝美元的反应＝Invoke-RestMethoduri美元的uri头美元的头-ContentType“application / json”方法得到Write-Host美元的反应
              

请注意

您可以在“pre-session”脚本中查询这样的元数据，并使用提供的信息来定制应用程序/环境、挂载网络驱动器等。请联系您的Nutanix代表获取更多信息和指导如何做到这一点。

从Launchpad查看元数据

卫星与发射台或发射链接 https://console.nutanix.com/acme/projects/demos/launchpad/demo-apps

考虑到这个URL，让我们假设我们已经从SAT API收到了一个令牌。我们将令牌作为URL搜索查询参数包括:

令牌吗? = GENERATED_TOKEN_HERE

结果:

https://console.nutanix.com/acme/projects/demos/launchpad/demo-apps?token=GENERATED_TOKEN_HERE

使用这样的URL构造，当用户登录到这个URL时，Frame将使用该URL中的令牌并登录用户。像这样的url可以通过多种不同的方式传递给用户:

在你的网站上的链接(也许在一个新的标签打开链接)。
重定向到这些URL作为您的用户工作流程的一部分(例如example.com/sign-in -> generate token from api -> Redirect user to Frame URL)
以电子邮件的形式发送链接——确保令牌的过期时间对安全性有意义，令牌从生成的那一刻起就开始过期。

请注意

为了确保良好的用户体验，请确保生成的令牌具有访问Launchpad或您将用户指向的资源的适当角色/权限。

自定义身份验证流

元数据：｛exampleId：123456，frame_login_url：“https://example.com/log-back-into-frame”，frame_logout_url：“https://example.com/log-out-and-thank-you”｝

在上面的例子中，我们指定frame_login_url和frame_logout_url．当这些值出现时，我们将尊重用户使用UI时所提供的值。

当Launchpad和Launch link用户处于不活动状态(没有键盘或鼠标活动)15分钟时，将使用这些url。当发生这种情况时，我们将注销用户，并提示用户选择退出离开或日志回来在．

. . / _images / secure_anon_launchpad_logout_inactivity.png＂src=

此外，当使用Launchpad时，注销URL被绑定到Launchpad右上方的Profile菜单中的注销按钮。当用户点击这个，Frame将用户的令牌无效，并将用户的浏览器重定向到SAT元数据中指定的URL。

. . / _images / secure_anon_launchpad_logout_button.png＂src=

请注意

为确保良好的体验，提供的URLframe_login_url应该用来路由用户到您的网站生成一个新的令牌，然后重定向用户回到他们原来的位置令牌。这确保了在使用安全匿名令牌时，Launchpad、Launch Links和PWAs之间的兼容性。

请注意

如果用户在身份提供者的断言/声明中指定这些参数，他们也可以利用这些自定义身份验证url。这一过程因每个身份提供者而异;请参阅您的标识提供者关于添加自定义断言/声明的文档。