第 1 章 授权服务概述

资源管理 涉及所有必要的步骤来定义受保护的内容。

首先，您需要指定您要保护的 Keycloak 的红帽构建，这通常代表 web 应用程序或一组一个或多个服务。有关资源服务器的更多信息，请参阅 术语。

资源服务器使用红帽构建的 Keycloak 管理控制台进行管理。您可以将任何注册的客户端应用程序启用为资源服务器，并开始管理您要保护的资源和范围。

资源可以是网页、RESTFul 资源、文件系统中的文件、EJB 等。它们可以代表一组资源（如 Java 中的类），或者它们可以代表单个和特定资源。

例如，您可能有一个代表所有 公司帐户 的过期帐户资源，并使用它来定义所有公司通用授权策略。但是，您可能希望为 sVirt 帐户 （属于客户的资源实例）定义特定的策略，其中只允许所有者访问某些信息或执行操作。

可以使用红帽构建的 Keycloak 管理控制台或 保护 API 来管理资源。在后者的情况下，资源服务器能够远程管理其资源。

范围通常代表可在资源上执行的操作，但不仅限于该资源。您还可以使用范围来表示资源中的一个或多个属性。

在定义了资源服务器和要保护的所有资源后，您必须设置权限和策略。

这个过程涉及所有必要的步骤，以实际定义管理您的资源的安全性和访问要求。

策略定义访问或对操作（资源或范围）需要满足的条件，但它们不与保护的内容相关联。它们是通用的，可以重复使用来构建权限或更复杂的策略。

例如，若要仅允许对具有角色"用户高级"授予的用户访问一组资源，您可以使用 RBAC （基于角色的访问控制）。

Red Hat build of Keycloak 提供了几个内置策略类型（及其相应的策略供应商），涵盖了最常见的访问控制机制。您甚至可以根据使用 JavaScript 编写的规则创建策略。

定义了策略后，您可以开始定义权限。权限与它们正在保护的资源相结合。在这里，您可以指定要保护的内容（资源或范围），以及必须满足的策略来授予或拒绝权限。

策略强制 涉及对资源服务器实际强制实施授权决策所需的步骤。这可以通过在可以与授权服务器通信的资源服务器上启用 策略强制点 或 PEP，根据服务器返回的决策和权限请求授权数据并控制对受保护资源的访问。

Red Hat build of Keycloak 提供了一些内置的 Policy Enforcers 实现，您可以根据它们运行的平台来保护应用程序。

OAuth2 客户端（如前端应用）可以使用令牌端点从服务器获取访问令牌，并使用这些令牌访问受资源服务器保护的资源（如后端服务）。同样，红帽构建的 Keycloak 授权服务为 OAuth2 提供扩展，以允许根据请求的资源或范围关联的所有策略来处理访问令牌。这意味着资源服务器可以根据服务器授予的权限强制访问其受保护的资源，并由访问令牌保存。在红帽构建的 Keycloak 授权服务中，具有权限的访问令牌称为 请求第三方令牌或 RPT。

Protection API 是一组 符合 UMA 的端点 - 为资源服务器提供操作，以帮助它们管理与其关联的资源、范围、权限和策略。只有资源服务器可以访问此 API，它还需要 uma_protection 范围。

Protection API 提供的操作可分为两个主要组中：

使用 UMA 协议时，保护 API 的 Permission Tickets 是整个授权过程的重要部分。如后续部分所述，它们代表客户端请求的权限，并发送到服务器，以获取在评估与请求资源和范围关联的所有权限时授予的所有权限的最终令牌。