Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

5.8. 客户端注册策略

注意

当前计划用于删除客户端注册策略，以替代《 服务器管理指南 》中描述的客户端策略。客户端策略更为灵活，支持更多用例。

Red Hat Single Sign-On 目前支持通过客户端注册服务注册新客户端的方法。

  • 已验证的 requests - 注册新客户端的请求必须包含前面提到的 Initial Access Token 或 Bearer Token。
  • 匿名请求 - 要注册新客户端的请求根本不需要包含任何令牌

匿名客户端注册请求非常有趣的功能，但您通常不希望任何人在没有限制的情况下注册新客户端。因此，我们有 客户端注册策略 SPI 提供了一种限制谁可以在哪些条件下注册新客户端的方法。

在 Red Hat Single Sign-On admin 控制台中，您可以点击 Client Registration 标签页，然后单击 Client Registration Policies 子tab。在这里，您将看到为匿名请求以及针对身份验证请求配置了哪些策略。

注意

仅允许新客户端创建（注册）匿名请求（请求，任何令牌）。因此，当您通过匿名请求注册新客户端时，响应将包含 Registration Access Token，该令牌必须用于特定客户端读取、更新或删除请求。但是，从匿名注册中使用此注册访问令牌将同样受到匿名策略的影响！这意味着，如果您有受信任的主机策略，对于更新客户端的请求也需要来自 受信任的主机。例如，更新客户端以及存在 Consent Required 策略时，不允许禁用 Consent 所需 策略。

目前，我们有这些策略实现：

  • 可信主机策略 - 您可以配置可信主机和可信域列表。只能从这些主机或域发送客户端注册服务请求。从某些不受信任的 IP 发送的请求将被拒绝。新注册客户端的 URL 也必须只使用这些可信主机或域。例如，不允许设置指向某些不可信主机的客户端的 重定向 URI。默认情况下，没有任何白名单的主机，因此匿名客户端注册被禁用。
  • 批准策略 - 新注册的客户端将启用 Consent Allowed 开关。因此，在成功身份验证后，当他需要批准权限（客户端范围）时，用户将始终看到同意屏幕。这意味着，除非用户批准，客户端将无权访问用户的任何个人信息或权限。
  • 协议映射程序策略 - 允许配置白名单协议映射程序实施列表。如果新客户端包含一些非列出的协议映射程序，则无法注册或更新。请注意，这个策略也用于经过身份验证的请求，因此即使经过身份验证的请求也有一些限制，可以使用协议映射程序。
  • 客户端范围策略 - 允许将 客户端范围 列入白名单，可用于新注册或更新的客户端。默认没有白名单范围 ; 只有客户端范围（定义为 Realm Default Client Scopes ）默认列在白名单中。
  • 完整的范围策略 - 注册的客户端将禁用 全范围允许的 交换机。这意味着它们没有其他客户端的任何有范围的域角色或客户端角色。
  • 最大客户端策略 - 如果域中当前客户端数量比指定限制相同或大于指定限制，则拒绝注册。对于匿名注册，默认为 200。
  • 客户端禁用策略 - 新注册的客户端将被禁用。这意味着，admin 需要手动批准并启用所有新注册的客户端。即使匿名注册，这个策略也不使用。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat