Habilitar el control de acceso basado en roles para APIs

Aprenda a habilitar el control de acceso basado en roles (RBAC) para una API mediante Auth0 Dashboard o la Management API.

Puede habilitar el control de acceso basado en roles (RBAC) mediante Auth0 Dashboard o la Management API. Esto habilita el conjunto de funciones de Authorization Core para la API.

Cuando RBAC está habilitado, el claim scope del token de acceso incluye la intersección entre los permisos solicitados y los permisos asignados al usuario, independientemente de que los permisos también se incluyan en el token de acceso. Cuando RBAC está deshabilitado, una aplicación puede solicitar cualquier permiso definido para la API, y el claim scope incluye todos los permisos solicitados.

Si configura Actions que modifiquen los alcances del token de acceso, esos cambios reemplazarán los alcances establecidos por RBAC.

​

Dashboard

1. Ve a Dashboard > Applications > APIs y haz clic en el nombre de la API que quieres consultar.

   

2. Desplázate hasta RBAC Settings y activa el interruptor Enable RBAC.

   

3. Para incluir todos los permisos asignados al usuario en el claim permissions del token de acceso, activa el interruptor Add Permissions in the Access Token y haz clic en Save. Incluir permisos en el token de acceso te permite reducir al mínimo las llamadas necesarias para recuperar permisos, pero aumenta el tamaño del token. Una vez que actives el interruptor Add Permissions in the Access Token, Auth0 también actualiza el dialecto del token según el perfil de token de acceso que hayas configurado para la API:

   • Si el dialecto del token es access_token, Auth0 lo actualiza a access_token_authz, que equivale al perfil access_token con el claim permissions incluido.
   • Si el dialecto del token es rfc9068_profile, Auth0 lo actualiza a rfc9068_profile_authz, que equivale a rfc9068_profile con el claim permissions incluido.

   Para obtener más información sobre los dialectos de token disponibles, consulta Opciones de dialecto de token.

​

Management API

Para habilitar RBAC mediante la Management API, haga una solicitud PATCH al endpoint para actualizar un servidor de recursos. En la solicitud PATCH, establezca enforce_policies en true:

Sustituya API_ID, MGMT_API_ACCESS_TOKEN y TOKEN_DIALECT por sus respectivos valores, como se muestra en la siguiente tabla:

Parámetro	Descripción
API_ID	ID de la API para la que desea habilitar RBAC.
MGMT_API_ACCESS_TOKEN	Token de acceso para la Management API con el scope update:resource_servers.
TOKEN_DIALECT	Dialecto del token de acceso de la API especificada. Para obtener más información, consulte Opciones de dialecto del token.

​

Opciones de dialecto del token

Auth0 admite los siguientes dialectos del token:

Valor	Descripción
access_token	El perfil de token predeterminado de Auth0 genera un token de acceso con formato de JSON Web Token (JWT). En el claim scope del token de acceso, incluye la intersección entre los permisos solicitados y los permisos asignados al usuario. No se incluye ningún claim permissions. Para obtener más información, consulta Access Token Profiles.
access_token_authz	El perfil de token predeterminado de Auth0 (access_token) con el claim permissions. En el claim scope del token de acceso, incluye la intersección entre los permisos solicitados y los permisos asignados al usuario. En el claim permissions del token de acceso, incluye todos los permisos asignados al usuario. Permite hacer un número mínimo de llamadas para recuperar permisos, pero aumenta el tamaño del token.
rfc9068_profile	El perfil de token RFC 9068 genera un token de acceso con formato JWT conforme al IETF JWT Profile for OAuth 2.0 Access Tokens (RFC 9068). En el claim scope del token de acceso, incluye la intersección entre los permisos solicitados y los permisos asignados al usuario. No se incluye ningún claim permissions. Para obtener más información, consulta Access Token Profiles.
rfc9068_profile_authz	El perfil de token RFC 9068 (rfc9068_profile) con el claim permissions. En el claim scope del token de acceso, incluye la intersección entre los permisos solicitados y los permisos asignados al usuario. En el claim permissions del token de acceso, incluye todos los permisos asignados al usuario. Permite hacer un número mínimo de llamadas para recuperar permisos, pero aumenta el tamaño del token.

​

Más información

• Administrar usuarios del control de acceso basado en roles
• Administrar permisos del control de acceso basado en roles
• Casos prácticos: control de acceso basado en roles