7.6. 角色范围映射

在创建 OIDC 访问令牌或 SAML 断言时，用户角色映射将变为令牌或断言中的声明。应用程序使用这些声明对应用程序控制的资源做出访问决策。Red Hat build of Keycloak 数字签名访问令牌和应用程序重新使用它们调用远程保护的 REST 服务。但是，这些令牌具有相关的风险。攻击者可以获取这些令牌，并使用其权限破坏您的网络。要防止这种情况，请使用 角色范围映射。

角色范围 映射限制访问令牌中声明的角色。当客户端请求用户身份验证时，它们收到的访问令牌仅包含为客户端范围显式指定的角色映射。其结果是，您可以限制每个单独的访问令牌的权限，而不是向客户端授予对所有用户权限的访问权限。

默认情况下，每个客户端获取用户的所有角色映射。您可以查看客户端的角色映射。

默认情况下，范围的有效角色都是域中每个声明的角色。要更改此默认行为，请将 Full Scope Allowed 切换到 OFF 并声明每个客户端中您想要的特定角色。您还可以使用 客户端范围为 一组客户端定义相同的角色范围映射。