Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

10.8. 客户端注册策略

注意

当前计划正在删除客户端注册策略，以取代 服务器管理指南 中所述的客户端策略。客户端策略更为灵活，支持更多用例。

Red Hat build of Keycloak 目前支持通过客户端注册服务注册新客户端的两个方式。

  • 经过身份验证的请求 - 注册新客户端的 Request 必须包含 Initial Access Token 或 Bearer Token （如上所述）。
  • 匿名请求 - 请求注册新客户端不需要包含任何令牌

匿名客户端注册请求非常有趣且强大的功能，但您通常不希望任何人都可以在没有限制的情况下注册新客户端。因此，我们有 客户端注册策略 SPI，它提供了一种限制谁可以注册新客户端以及哪些条件下。

在 Red Hat build of Keycloak admin console 中，您可以点 Client Registration 选项卡，然后点 Client Registration Policies 子选项卡。在这里，您将看到为匿名请求默认配置哪些策略，以及为经过身份验证的请求配置哪些策略。

注意

仅允许创建新客户端创建（注册）匿名请求（无令牌请求）。因此，当您通过匿名请求注册新客户端时，响应将包含 Registration Access Token，它必须用于特定客户端的 Read、Update 或 Delete 请求。但是，从匿名注册使用此注册访问令牌也会受到匿名策略的影响！这意味着，如果您有受信任的主机策略，更新客户端的请求还需要来自 受信任的主机。例如，在更新客户端时以及存在 Consent Required 策略时，不允许禁用 Consent Required。

目前，我们有这些策略实现：

  • 可信主机策略 - 您可以配置可信主机和可信域的列表。只能从那些主机或域向客户端注册服务发送请求。从某些不受信任的 IP 发送的请求将被拒绝。新注册的客户端的 URL 还必须只使用那些可信主机或域。例如，不允许设置指向某些不受信任的主机的客户端 重定向 URI。默认情况下，没有任何白名单的主机，因此匿名客户端注册被禁用。
  • 同意所需策略 - 新注册的客户端将启用 Consent Allowed 开关。因此，在身份验证成功后，用户会在需要批准权限（客户端范围）时始终看到同意屏幕。这意味着，除非用户批准，否则客户端无法访问任何个人信息或用户权限。
  • 协议映射程序策略 - 允许配置白名单协议映射器实施列表。如果新客户端包含一些非whitelist 的协议映射程序，则无法注册或更新。请注意，此策略也用于经过身份验证的请求，因此即使经过身份验证的请求也有一些限制，可以使用协议映射程序。
  • 客户端范围策略 - 允许将 客户端范围 列入白名单，可用于新注册或更新的客户端。默认没有白名单范围；只有客户端范围定义为 Realm Default Client Scopes，默认会列入白名单。
  • full Scope Policy - 新注册的客户端将禁用 Full Scope Allowed switch。这意味着它们没有任何其他客户端的任何范围域角色或客户端角色。
  • Max Clients Policy - 如果域中当前客户端数量相同或大于指定限制，则拒绝注册。默认情况下，匿名注册为 200。
  • Client Disabled Policy - 新注册的客户端将被禁用。这意味着 admin 需要手动批准并启用所有新注册的客户端。默认不使用此策略，即使进行匿名注册。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat