Вопросы о группах wso2is версии 5.4 и scim2

Question

Я использую wso2is в версии 5.4 с хранилищем пользователей ldap только для чтения. У меня включен scim2, и я могу вывести список пользователей через интерфейс /scim2/Users, как и ожидалось. Когда я пытаюсь составить список групп путем вызова интерфейса /scim2/groups, возвращаются только 2 группы: группа PRIMARY/admin - я полагаю, что это внутренняя группа и другая группа, полученная из ldap. Если я перечисляю роли (группы) из консоли администратора, перечисляются гораздо больше ролей, которые импортируются из LDAP, как ни странно, роль, соответствующая группе, указанной в команде групп, не видна. Когда я вызываю команду / Users, на консоли записываются сообщения:

[2018-02-06 12:49:02,798] DEBUG {org.wso2.carbon.identity.scim2.common.group.SCIMGroupHandler} -  The group MID.Portal.Consulting is not a SCIM group. Skipping..

Что означает это сообщение?

Другой вопрос: в документации wso2 говорится: "Начиная с 5.4.0, SCIM 2.0 поддерживается OOTB с WSO2 IS". Есть записи EventListener в файле identity.xml

<EventListener type="org.wso2.carbon.user.core.listener.UserOperationEventListener"
                   name="org.wso2.carbon.identity.scim.common.listener.SCIMUserOperationListener"
                   orderId="90" enable="false"/>
    <!-- Enable the following SCIM2 event listener and disable the above SCIM event listener if SCIM2 is used. -->
    <EventListener type="org.wso2.carbon.user.core.listener.UserOperationEventListener"
                   name="org.wso2.carbon.identity.scim2.common.listener.SCIMUserOperationListener"
                   orderId="93" enable="true"/>

какое значение?

Answer 1

Identity Server имеет 2 отдельные реализации для SCIM 1.1 и 2.0. До IS 5.4.0 только реализация SCIM 1.1 упакована OOTB с продуктом. Реализация SCIM 2.0 доступна в хранилище соединителей для загрузки и установки на Identity Server. Начиная с IS 5.4.0, в продукте доступны как реализации 1.1, так и версии 2.0.

Проблема, связанная с отсутствием отображения групп в пользовательском хранилище только для чтения, на самом деле является ограничением в Identity Server. Только имя группы и члены читаются из хранилища пользователей. Идентификатор группы и все другие метаданные, относящиеся к группе, хранятся в базе данных Identity Server. Идентификатор для группы генерируется только тогда, когда группа создается на Identity Server. Поэтому операции группы SCIM не будут работать должным образом с пользовательскими хранилищами только для чтения из-за этого ограничения.

Изменить: Поскольку ваш пользовательский магазин доступен только для чтения, не будет большой разницы в изменении EventListener. Но лучше сделать правильный конфиг. Если там пользовательское хранилище для чтения-записи, вы должны обязательно выполнить эту настройку.