# Guidewire 企业 RBAC ## 概述为 Guidewire InsuranceSuite 实施全面的基于角色的访问控制，包括 API 角色、用户权限、系统角色和安全策略。 ## 先决条件 * 访问 Guidewire 云控制台 (GCC) * 了解OAuth2和JWT * 了解企业安全模式 ## RBAC 架构 ┌────────────────────────────────────────────────────────────────────────────────┐ │ Guidewire RBAC 架构 │ ├────────────────────────────────────────────────────────────────────────────────┤ │ │ │ ┌────────────────────────────────────────────────────────────────────────┐ │ │ │ 导丝中心 (IdP) │ │ │ │ ┌────────────┐ ┌──────────────┐ ┌──────────────┐ ┌────────────┐ │ │ │ │ │ 用户 │ │ 组 │ │ 应用程序 │ │ 角色 │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ │ • 内部 │ │ • AD 同步 │ │ • 浏览器 │ │ • API 角色 │ │ │ │ │ │ • 外部 │ │ • 手册 │ │ • 服务 │ │ • 应用程序角色 │ │ │ │ │ └────────────┘ └──────────────┘ └────────────────┘ └────────────┘ │ │ │ └────────────────────────────────────────────────────────────────────────┘ │ │ │ │ │ ┌──────────────────┼────────────────────┐ │ │ │ │ │ │ │ ▼ ▼ ▼ │ │ ┌──────────────────────┐ ┐────────────────────────┐ ┐──────────────────────┐ │ │ │ 保单中心 │ │ 理赔中心 │ │ 账单中心 │ │ │ │ │ │ │ │ │ │ │ │ 系统角色： │ │ 系统角色： │ │ 系统角色： │ │ │ │ • 承保人 │ │ • 理赔员 │ │ • 计费管理员 │ │ │ │ • 保单管理员 │ │ • 理赔主管 │ │ • 付款处理员 │ │ │ │ • 代理人 │ │ • SIU 调查员 │ │ • 催收代理人 │ │ │ │ │ │ │ │ │ │ │ │ API 角色： │ │ API 角色： │ │ API 角色： │ │ │ │ • pc_policy_read │ │ • cc_claim_read │ │ • bc_billing_read │ │ │ │ • pc_policy_admin │ │ • cc_claim_admin │ │ • bc_ payment_admin │ │ │ └──────────────────────┘ └────────────────────────┘ └──────────────────────┘ │ │ │ └────────────────────────────────────────────────────────────────────────────────┘ ## 说明 ### 步骤 1：在 GCC 中配置 API 角色 # API角色配置 # Guidewire 云控制台 > 身份和访问 > API 角色 api_角色： # 只读角色 - 名称：pc_policy_read 应用：政策中心描述：对策略和帐户的只读访问权限权限： - 端点：/account/v1/accounts 操作：[获取] - 端点：/account/v1/accounts/{id} 操作：[获取] - 端点：/policy/v1/policies 操作：[获取] - 端点：/policy/v1/policies/{id} 操作：[获取] # 管理员角色 - 名称：pc_policy_admin 应用：政策中心描述：对策略管理的完全访问权限权限： - 端点：/account/v1/accounts 操作：[GET、POST、PATCH] - 端点：/job/v1/submissions 操作：[GET、POST、PATCH] - 端点：/job/v1/submissions/{id}/quote 操作：[发布] - 端点：/job/v1/submissions/{id}/bind 操作：[发布] - 端点：/policy/v1/policies 操作：[GET、POST、PATCH] # 声明角色 - 名称：cc_claim_admin 申请：理赔中心描述：完全访问索赔管理权限： - 端点：/claim/v1/claims 操作：[GET、POST、PATCH] - 端点：/fnol/v1/fnol 操作：[发布] - 端点：/claim/v1/claims/{id}/exposures 操作：[GET、POST、PATCH] - 端点：/claim/v1/claims/{id}/ payment 操作：[GET、POST] ### 步骤 2：服务帐户配置 // 服务帐号管理接口服务帐户{ 客户端ID：字符串；名称：字符串；描述：字符串； api角色：字符串[]；环境：字符串[]； } const serviceAccounts: ServiceAccount[] = [ { clientId: '集成服务产品', name: '集成服务', 描述：“保单和索赔同步的后端集成服务”， apiRoles: ['pc_policy_admin', 'cc_claim_read'], 环境：['生产'] }, { clientId: '代理门户产品', name: '代理门户', 描述：“面向代理的门户应用程序”， apiRoles: ['pc_policy_read', 'pc_submission_handler'], 环境：['生产'，'uat'] }, { clientId: '报告服务', name: '报告服务', 描述：“报告的只读访问权限”， apiRoles: ['pc_policy_read', 'cc_claim_read', 'bc_billing_read'], 环境：['生产'] } ]; // 在GCC中注册服务帐户异步函数 registerServiceAccount(account: ServiceAccount): Promise { const 响应 = 等待 gccClient.post('/api/v1/applications', { clientId: 账户.clientId, 名称：账户.名称，描述：账户.描述，类型：'服务'， apiRoles: account.apiRoles.map(角色 => ({ 名称: 角色 })) }); console.log(`注册服务帐号：${account.clientId}`); } ### 步骤 3：Gosu 中的用户角色管理 // 用户角色管理包 gw.security.roles 使用 gw.api.util.Logger 使用 gw.pl.persistence.core.Bundle 类角色管理器 { private static Final var LOG = Logger.forCategory("RoleManager") // 为用户分配角色静态函数分配角色（用户：用户，角色代码：字符串）{ var 角色 = Role.get(roleCode) 如果（角色==空）{ throw new IllegalArgumentException("未找到角色：${roleCode}") } if (user.hasRole(角色)) { LOG.info("用户${user.UserName}已经拥有角色${roleCode}") 返回 } gw.transaction.Transaction.runWithNewBundle(\bundle -> { var u = bundle.add(用户) var userRole = new UserRole(bundle) 用户角色.用户 = u userRole.Role = 角色 LOG.info("将角色 ${roleCode} 分配给用户 ${user.UserName}") }) } // 删除用户的角色静态函数removeRole（用户：用户，角色代码：字符串）{ var 角色 = Role.get(roleCode) 如果（角色==空）{ throw new IllegalArgumentException("未找到角色：${roleCode}") } gw.transaction.Transaction.runWithNewBundle(\bundle -> { var u = bundle.add(用户) var userRole = u.Roles.firstWhere(\ur -> ur.Role == 角色) if (userRole!= null) { 捆绑.删除（用户角色） LOG.info("从用户 ${user.UserName} 中删除了角色 ${roleCode}") } }) } // 检查用户是否有权限静态函数 hasPermission(用户：用户，权限：字符串) : boolean { 返回 user.Roles.hasMatch(\ur -> ur.Role.Permissions.hasMatch(\p -> p.Code == 权限) ） } // 获取用户的所有权限静态函数 getUserPermissions(user : User) : Set { var 权限 = new HashSet() user.Roles.each(\ur -> { ur.Role.Permissions.each(\p -> { 权限.add(p.Code) }) }) 返回权限 } } ### 步骤 4：自定义权限检查 // 自定义权限框架包 gw.security.permissions 使用 gw.api.util.Logger 使用 gw.api.web.SessionUtil 类权限检查器{ private static Final var LOG = Logger.forCategory("PermissionChecker") // 通过审核日志检查权限静态函数 checkPermission(permission : String) : boolean { var 用户 = SessionUtil.CurrentUser 如果（用户==空）{ LOG.warn("权限检查失败：会话中没有用户") 返回错误 } var hasPermission = RoleManager.hasPermission(用户, 权限) 如果（！hasPermission）{ LOG.warn("权限被拒绝：用户 ${user.UserName} 的 ${permission}") auditPermissionDenial（用户，权限） } 返回有权限 } // 需要权限（如果拒绝则抛出异常）静态函数 requirePermission(permission : String) { if (!checkPermission(权限)) { 抛出新的SecurityException（“权限被拒绝：$ {permission}”） } } // 检查实体级权限静态函数 canAccessEntity(实体 : KeyableBean, 操作 : String) : boolean { var 用户 = SessionUtil.CurrentUser 如果（用户==空）{ 返回错误 } // 检查所有权 if (isOwner(用户, 实体)) { 返回真 } // 检查分层访问 if (hasHierarchicalAccess(用户，实体)) { 返回真 } // 检查基于角色的访问 var 权限 = "${entity.IntrinsicType.Name}_${操作}" 返回检查权限（权限） } 私有静态函数 isOwner(用户：用户，实体：KeyableBean) : boolean { // 检查用户是否已创建或分配给实体 if (实体类型是策略) { 返回entity.CreateUser == user } else if (实体类型为Claim) { 返回实体.AssignedUser == 用户 } 返回错误 } 私有静态函数 hasHierarchicalAccess(用户：用户，实体：KeyableBean) : boolean { // 检查组织层次结构 if (实体类型是策略) { varpolicyOrg=entity.ProducerCodeOfRecord?.Organization 返回 user.Organization == policyOrg || isParentOrg（用户.组织，policyOrg） } 返回错误 } 私有静态函数auditPermissionDenial（用户：用户，权限：字符串）{ // 记录到审计跟踪 gw.api.audit.AuditLogger.log( “PERMISSION_DENIED”， "用户 ${user.UserName} 拒绝权限：${permission}", 用户.PublicID ） } } ### 步骤 5：行级安全性 // 行级安全实现包 gw.security.rls 使用 gw.api.database.Query 使用 gw.api.web.SessionUtil 类 RowLevelSecurity { // 将安全过滤器应用于查询静态函数 applySecurityFilter(query : Query) : Query { var 用户 = SessionUtil.CurrentUser if (user == null || user.hasRole(Role.get("SystemAdmin"))) { return query // 不对系统管理员进行过滤 } varentityType = query.getTargetType() if (entityType == 策略) { 返回 applyPolicySecurityFilter(query as Query, user) as Query } else if (entityType == Claim) { 返回 applyClaimSecurityFilter(query as Query, user) as Query } else if (entityType == Account) { 返回 applyAccountSecurityFilter(query as Query, user) as Query } 返回查询 } 私有静态函数 applyPolicySecurityFilter( 查询：查询<策略>，用户：用户 ) : 查询<策略> { // 按用户组织或生产者代码过滤 var userProducerCodes = user.ProducerCodes.map(\pc -> pc.Code) 如果（！userProducerCodes.Empty）{ query.join(Policy#ProducerCodeOfRecord) .compareIn(ProducerCode#Code, userProducerCodes) } 返回查询 } 私有静态函数 applyClaimSecurityFilter( 查询：查询<声明>，用户：用户 ) : 查询<声明> { // 按指定的用户或组过滤 var userGroups = user.GroupUsers.map(\gu -> gu.Group) 查询.or(\orClause -> { orClause.compare(Claim#AssignedUser, 等于, user) if (!userGroups.Empty) { orClause.compareIn(Claim#AssignedGroup, userGroups) } }) 返回查询 } 私有静态函数 applyAccountSecurityFilter( 查询：查询<帐户>，用户：用户 ) : 查询<账户> { // 按生产者代码分配过滤 var userProducerCodes = user.ProducerCodes.map(\pc -> pc.PublicID) 如果（！userProducerCodes.Empty）{ query.subselect(账户#ID, CompareIn, Query.make（帐户生产者代码） .compareIn(AccountProducerCode#ProducerCode, userProducerCodes) .subselect(AccountProducerCode#Account, CompareIn, Account#ID) ） } 返回查询 } } // 安全查询助手类 SecuredQuery { 静态函数 make(type : Type) : Query { var query = Query.make(类型) 返回 RowLevelSecurity.applySecurityFilter(查询) } } // 用法类策略服务{ 静态函数 findPoliciesForCurrentUser() : List { // 自动应用行级安全性返回 SecuredQuery.make(策略) .compare（策略#Status，等于，PolicyStatus.TC_INFORCE） .select() .toList() } } ### 第6步：API授权中间件 // API授权中间件从 'express' 导入 { Request, Response, NextFunction }; 接口安全上下文{ 用户ID：字符串；角色：字符串[]； api角色：字符串[]；组织ID：字符串；生产者代码：字符串[]； } // 从 JWT 中提取安全上下文函数 extractSecurityContext（令牌：JWTPayload）：SecurityContext { 返回{ 用户Id：token.sub，角色：token.roles || [], apiRoles: token.api_roles || [], 组织ID：token.org_id，生产者代码： token.生产者代码 || [] }; } // 需要特定的API角色函数 requireApiRole(...requiredRoles: string[]) { return (req: 请求, res: 响应, next: NextFunction) => { const context = (req as any).securityContext as SecurityContext; 如果（！上下文）{ return res.status(401).json({ error: '未经授权' }); } const hasRequiredRole = requiredRoles.some(角色 => context.apiRoles.includes(角色) ）； if (!hasRequiredRole) { 返回 res.status(403).json({ 错误：“禁止”， message: 'API 角色权限不足', 所需角色， userRoles：context.apiRoles }); } 下一个（）; }; } // API 响应的行级安全过滤器函数 applySecurityFilter( 数据：T[]，上下文：安全上下文， filterFn: (项目: T, 上下文: SecurityContext) => 布尔值 ): T[] { if (context.roles.includes('SystemAdmin')) { 返回数据； } 返回 data.filter(item => filterFn(item, context)); } // 在路由中使用 app.get('/api/policies', auth中间件, requireApiRole('pc_policy_read', 'pc_policy_admin'), 异步（请求，res）=> { const context = (req as any).securityContext; 让策略=等待guidewireClient.getPolicies(); // 应用行级安全性策略= applySecurityFilter（策略，上下文，（策略，ctx）=> { 返回 ctx. ProducerCodes.includes(policy. ProducerCode) || ctx.organizationId === 策略.organizationId; }); res.json(政策); } ）； ## 角色矩阵角色 |政策中心 |理赔中心 |计费中心 ---|---|---|--- 系统管理员|完全访问 |完全访问 |完全访问权限承销商|提交、报价 |只读 |只读理赔员 |只读 |索赔、付款|只读计费管理 |只读 |只读 |完全访问权限代理|提交，阅读 |仅限 FNOL |只读审计员|只读 |只读 |只读 ## 最佳实践实践|描述 ---|--- 最小特权 |授予最低限度的必要权限角色分离 |按功能划分角色，而不是按方便划分定期审核|每季度审查角色分配服务帐户 |使用专用帐户进行集成 API 角色范围 |将 API 角色范围限定到特定端点 ## 输出 * API角色配置 * 服务帐户设置 * 用户角色管理 * 自定义权限框架 * 行级安全性 * 授权中间件 ## 资源 * [Guidewire 安全文档]() * [API角色配置]() * [身份验证架构]() ## 后续步骤有关迁移策略，请参阅“guidewire-migration-deep-dive”。

Guidewire 企业 Rbac

包含技能