5.3. 基于 JavaScript 的策略

警告

如果您的策略实施使用基于属性的访问控制(ABAC)，则请确保用户无法编辑受保护的属性，并且相应的属性为只读。请参阅 Threat 模型缓解章节中的详细信息。

您可以使用这类策略，通过 JavaScript 为权限定义条件。它是红帽构建的 Keycloak 支持的基于规则的策略类型之一，它提供了根据评估 API 编写任何策略的灵活性。

要创建新的基于 JavaScript 的策略，请在策略列表右上角的 item 列表中选择 JavaScript。

注意

默认情况下，无法将 JavaScript 策略上传到服务器。您应该更喜欢直接将 JS 策略部署到服务器，如 JavaScript 提供程序中所述。

5.3.1. 从部署的 JAR 文件创建 JS 策略

Red Hat build of Keycloak 允许您部署 JAR 文件，以便将脚本部署到服务器。如需了解更多详细信息，请参阅 JavaScript Providers。

部署脚本后，您应能够从可用的策略提供程序列表中选择部署的脚本。

5.3.2. 例子

5.3.2.1. 从评估上下文中检查属性

以下是基于 JavaScript 的策略的简单示例，它使用基于属性的访问控制(ABAC)根据从执行上下文获取的属性来定义条件：

const context = $evaluation.getContext();
const contextAttributes = context.getAttributes();

if (contextAttributes.containsValue('kc.client.network.ip_address', '127.0.0.1')) {
    $evaluation.grant();
}

const context = $evaluation.getContext();
const contextAttributes = context.getAttributes();

if (contextAttributes.containsValue('kc.client.network.ip_address', '127.0.0.1')) {
    $evaluation.grant();
}

Copy to Clipboard

5.3.2.2. 从当前身份检查属性

以下是基于 JavaScript 的策略的简单示例，它使用基于属性的访问控制(ABAC)根据与当前身份关联的属性来定义条件：

const context = $evaluation.getContext();
const identity = context.getIdentity();
const attributes = identity.getAttributes();
const email = attributes.getValue('email').asString(0);

if (email.endsWith('@keycloak.org')) {
    $evaluation.grant();
}

const context = $evaluation.getContext();
const identity = context.getIdentity();
const attributes = identity.getAttributes();
const email = attributes.getValue('email').asString(0);

if (email.endsWith('@keycloak.org')) {
    $evaluation.grant();
}

Copy to Clipboard

这些属性从授权请求中使用的令牌中定义的任何声明映射。

5.3.2.3. 检查授予当前身份的角色

您还可以在策略中使用基于角色的访问控制(RBAC)。在以下示例中，我们检查是否被授予了 keycloak_user 域角色的用户 ：

const context = $evaluation.getContext();
const identity = context.getIdentity();

if (identity.hasRealmRole('keycloak_user')) {
    $evaluation.grant();
}

const context = $evaluation.getContext();
const identity = context.getIdentity();

if (identity.hasRealmRole('keycloak_user')) {
    $evaluation.grant();
}

Copy to Clipboard

或者，您可以检查用户是否被授予 my-client-role 客户端角色，其中 my-client 是客户端应用程序的客户端 ID：

const context = $evaluation.getContext();
const identity = context.getIdentity();

if (identity.hasClientRole('my-client', 'my-client-role')) {
    $evaluation.grant();
}

const context = $evaluation.getContext();
const identity = context.getIdentity();

if (identity.hasClientRole('my-client', 'my-client-role')) {
    $evaluation.grant();
}

Copy to Clipboard

5.3.2.4. 检查授予用户的角色

检查授予用户的域角色：

const realm = $evaluation.getRealm();

if (realm.isUserInRealmRole('marta', 'role-a')) {
    $evaluation.grant();
}

const realm = $evaluation.getRealm();

if (realm.isUserInRealmRole('marta', 'role-a')) {
    $evaluation.grant();
}

Copy to Clipboard

或用于授予用户的客户端角色：

const realm = $evaluation.getRealm();

if (realm.isUserInClientRole('marta', 'my-client', 'some-client-role')) {
    $evaluation.grant();
}

const realm = $evaluation.getRealm();

if (realm.isUserInClientRole('marta', 'my-client', 'some-client-role')) {
    $evaluation.grant();
}

Copy to Clipboard

5.3.2.5. 检查授予组的角色

检查为组授予的域角色：

const realm = $evaluation.getRealm();

if (realm.isGroupInRole('/Group A/Group D', 'role-a')) {
    $evaluation.grant();
}

const realm = $evaluation.getRealm();

if (realm.isGroupInRole('/Group A/Group D', 'role-a')) {
    $evaluation.grant();
}

Copy to Clipboard

5.3.2.6. 将任意声明推送到资源服务器

要将任意声明推送到资源服务器，以便提供有关如何强制实施权限的附加信息：

const permission = $evaluation.getPermission();

// decide if permission should be granted

if (granted) {
    permission.addClaim('claim-a', 'claim-a');
    permission.addClaim('claim-a', 'claim-a1');
    permission.addClaim('claim-b', 'claim-b');
}

const permission = $evaluation.getPermission();

// decide if permission should be granted

if (granted) {
    permission.addClaim('claim-a', 'claim-a');
    permission.addClaim('claim-a', 'claim-a1');
    permission.addClaim('claim-b', 'claim-b');
}

Copy to Clipboard

5.3.2.7. 检查组成员资格

const realm = $evaluation.getRealm();

if (realm.isUserInGroup('marta', '/Group A/Group B')) {
    $evaluation.grant();
}

const realm = $evaluation.getRealm();

if (realm.isUserInGroup('marta', '/Group A/Group B')) {
    $evaluation.grant();
}

Copy to Clipboard

5.3.2.8. 混合不同的访问控制机制

您还可以使用多种访问控制机制的组合。以下示例显示了如何在相同的策略中使用 roles (RBAC)和 claim/attributes (ABAC)检查。在这种情况下，我们检查用户是否被授予 admin 角色，或者具有来自 keycloak.org 域的电子邮件：

const context = $evaluation.getContext();
const identity = context.getIdentity();
const attributes = identity.getAttributes();
const email = attributes.getValue('email').asString(0);

if (identity.hasRealmRole('admin') || email.endsWith('@keycloak.org')) {
    $evaluation.grant();
}

const context = $evaluation.getContext();
const identity = context.getIdentity();
const attributes = identity.getAttributes();
const email = attributes.getValue('email').asString(0);

if (identity.hasRealmRole('admin') || email.endsWith('@keycloak.org')) {
    $evaluation.grant();
}

Copy to Clipboard

注意

在编写自己的规则时，请注意 $evaluation 对象是实施 org.keycloak.authorization.policy.evaluation.Evaluation.Evaluation 的对象。有关您可以从此接口访问的内容的更多信息，请参阅评估 API。

5.3. 基于 JavaScript 的策略

5.3.1. 从部署的 JAR 文件创建 JS 策略

5.3.2. 例子

5.3.2.1. 从评估上下文中检查属性

5.3.2.2. 从当前身份检查属性

5.3.2.3. 检查授予当前身份的角色

5.3.2.4. 检查授予用户的角色

5.3.2.5. 检查授予组的角色

5.3.2.6. 将任意声明推送到资源服务器

5.3.2.7. 检查组成员资格

5.3.2.8. 混合不同的访问控制机制

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links