7.6. 角色范围映射

在创建 OIDC 访问令牌或 SAML 断言时，用户角色映射成为令牌或断言中的声明。应用程序使用这些声明来对应用程序控制的资源做出访问决策。Red Hat build of Keycloak 数字签名访问令牌和应用程序重新使用它们调用远程保护的 REST 服务。但是，这些令牌存在关联的风险。攻击者可以获取这些令牌，并使用其权限来破坏您的网络。要防止这种情况，请使用 角色范围映射。

角色范围 映射限制访问令牌内声明的角色。当客户端请求用户身份验证时，它们接收的访问令牌仅包含为客户端范围明确指定的角色映射。结果是，您可以限制每个独立访问令牌的权限，而不是授予客户端对所有用户权限的权限。

默认情况下，每个客户端获取用户的所有角色映射。您可以查看客户端的角色映射。

默认情况下，域中的每个声明的角色都是范围的有效角色。要更改此默认行为，请将 Full Scope Allowed 切换到 OFF，并声明每个客户端中所需的特定角色。您还可以使用 客户端 范围为一组客户端定义相同的角色范围映射。