11.3.5. パーミッションの管理

この機能は、部分評価メカニズムを利用して、レルムリソースをリスト表示および表示するときにレルム管理者が持つ権限を部分的に評価します。このメカニズムは、レルム管理者を直接または間接的に参照するビュー関連のスコープに設定されたすべての権限を事前に取得します。

特定のタイプのレルムリソースを表示 (view) するアクセスを許可する権限では、クエリーから使用できるように、次のいずれかのポリシーを使用する必要があります。

上記のいずれかのポリシーを使用すると、Red Hat build of Keycloak は、レルム管理者への直接的な参照 (ユーザーポリシーを使用している場合) または間接的な参照 (ロールポリシーまたはグループポリシーを使用している場合) を検索して、レルム管理者が表示できるリソースのセットを事前に計算できます。したがって、部分評価メカニズムには、データベースレベルで実行されるアクセス制御を使用してクエリーを装飾することが含まれます。この機能は主に、リソースのページネーションを適切に許可し、クエリーによって返される各レルムリソースの権限を評価するときにサーバー側で追加のオーバーヘッドを回避するために重要です。

部分的な評価とフィルタリングは、機能がレルムに対して有効になっており、ユーザーに view-users や view-clients などのビュー関連の管理ロールが付与されていない場合にのみ実行されます。たとえば、マスターレルムで admin ロールを付与された管理者 (サーバー管理者) や、マスターレルム以外のレルムで realm-admin ロールを付与されたレルム管理者の場合は実行されません。

リソースをクエリーする場合、部分評価メカニズムは次のように機能します。

その結果、クエリーの結果セットには、レルム管理者がビュー関連のスコープのいずれかにアクセスできるレルムリソースのみが保持されます。