7.6. 角色范围映射

在创建 OIDC 访问令牌或 SAML 断言时，用户角色映射会成为令牌或断言中的声明。应用程序使用这些声明来做出对应用程序控制的资源的访问决策。红帽单点登录以数字化为访问令牌和应用签名，以重新使用它们调用远程保护的 REST 服务。但是，这些令牌存在相关的风险。攻击者可以获得这些令牌，并使用其权限破坏您的网络。要防止这种情况，请使用 角色范围映射。

角色 Scope Mappings 限制访问令牌中声明的角色。当客户端请求用户身份验证时，它们收到的访问令牌仅包含为客户端的范围明确指定的角色映射。其结果是，您可以限制每个单独的访问令牌的权限，而不是授予客户端访问所有用户的权限。

默认情况下，每个客户端获取用户的所有角色映射。您可以在每个客户端的 Scope 选项卡中查看角色映射。

默认情况下，范围的有效角色是 realm 中每一个声明的角色。要更改此默认行为，将 Full Scope Allowed to ON 并声明每个客户端所需的特定角色。您还可以使用 客户端范围为 一组客户端定义相同的角色范围映射。