第 1 章 授权服务概述

资源管理 涉及定义正在保护的内容的所有必要步骤。

首先，您需要指定您要保护的 Keycloak 的红帽构建，这通常代表 web 应用程序或一组一个或多个服务。有关资源服务器的更多信息，请参阅 术语。

资源服务器使用红帽构建的 Keycloak 管理控制台进行管理。您可以启用任何注册的客户端应用程序作为资源服务器，并开始管理您要保护的资源和范围。

资源可以是网页、RESTFul 资源、文件系统中的文件、EJB 等。它们可以表示一组资源（就像 Java 中的类），也可以代表单个和特定资源。

例如，您可能有一个代表所有 银行 帐户的银行帐户资源，并使用它来定义所有银行帐户通用的授权策略。但是，您可能希望为 alice 帐户 （属于客户的资源实例）定义特定策略，其中只有所有者才能访问某些信息或执行操作。

资源可以使用红帽构建的 Keycloak 管理控制台或 保护 API 进行管理。在后者的情况下，资源服务器能够远程管理其资源。

范围通常代表可以对资源执行的操作，但不仅限于它们。您还可以使用范围代表资源中的一个或多个属性。

在定义了资源服务器以及要保护的所有资源后，您必须设置权限和策略。

这个过程涉及实际定义管理资源的安全性和访问要求所需的所有步骤。

策略定义必须满足访问或对某个资源（资源或范围）执行操作的条件，但它们不会与受保护的内容相关联。它们是通用的，可以被重新用于构建权限甚至更复杂的策略。

例如，要仅允许具有"用户高级"角色的用户访问一组资源，您可以使用 RBAC （基于角色的访问控制）。

红帽构建的 Keycloak 提供了几个内置策略类型（及其相应的策略供应商）涵盖了最常见的访问控制机制。您甚至可以根据使用 JavaScript 编写的规则创建策略。

定义了策略后，您可以开始定义您的权限。权限与它们保护的资源相结合。在这里，您可以指定您要保护的内容（资源或范围）以及必须满足授予或拒绝权限的策略。

策略强制 涉及为资源服务器实际实施授权决策所需的步骤。这可以通过在能够与授权服务器通信的资源服务器上启用 策略强制点 或 PEP 来实现，请求授权数据并根据服务器返回的决策和权限控制对受保护的资源的访问。

Red Hat build of Keycloak 提供一些内置策略强制实现，您可以根据应用程序运行的平台来保护应用程序。???

OAuth2 客户端（如前端应用）可以使用令牌端点从服务器获取访问令牌，并使用这些令牌来访问由资源服务器（如后端服务）保护的资源。同样，红帽构建的 Keycloak 授权服务为 OAuth2 提供扩展，以便根据处理与所请求的资源或范围关联的所有策略来发布访问令牌。这意味着资源服务器可以根据服务器授予的权限并由访问令牌来强制访问其受保护的资源。在 Red Hat build of Keycloak Authorization Services 中，带有权限的访问令牌被称为 Requesting Party Token 或 RPT。

Protection API 是一组与 UMA 兼容的 端点，为资源服务器提供操作，以帮助它们管理其关联的资源、范围、权限和策略。只有资源服务器可以访问此 API，这还需要 uma_protection 范围。

保护 API 提供的操作可在两个主要组中组织：

使用 UMA 协议时，保护 API 的权限 Tickets 是整个授权过程的重要部分。如后续小节中所述，它们代表客户端请求的权限，并发送到服务器，以获取在评估与所请求资源和范围相关联的权限和范围时授予的所有权限的最终令牌。