第 1 章 授权服务概述

资源管理 涉及所有必要的步骤来定义受保护的内容。

首先，您需要指定您要保护的 Red Hat Single Sign-On，它代表一个 Web 应用程序或一组或多个服务。有关资源服务器的更多信息，请参阅 术语。

资源服务器使用红帽单点登录管理控制台管理。您可以启用任何注册的客户端应用程序作为资源服务器，并开始管理您要保护的资源和范围。

资源可以是网页、RESTFul 资源、文件系统中的文件、EJB 等。它们可以代表一组资源（就像 Java 中的类）或代表一个和特定资源。

例如，您可能有一个代表所有 银行 帐户的银行帐户资源，并使用它来定义对所有银行帐户通用的授权策略。但是，您可能想为 Alice 帐户 （属于客户的资源实例）定义特定的策略，其中只有所有者可以访问某些信息或执行操作。

可使用 Red Hat Single Sign-On 管理控制台或 保护 API 管理资源。在后者的情况下，资源服务器可以远程管理其资源。

范围通常代表可以对资源执行的操作，但它们不限于该资源。您还可以使用范围来代表资源中的一个或多个属性。

在定义了资源服务器以及您要保护的所有资源后，您必须设置权限和策略。

此过程涉及所有必要步骤，以实际定义管理资源的安全和访问要求。

策略定义了访问或对某些对象（资源或范围）执行操作的条件，但它们不会与受到保护的内容关联。它们是通用的，可以重复利用以构建权限或更复杂的策略。

例如，若要只允许一组资源访问由角色"用户高级"授予的用户，您可以使用 RBAC （基于角色的访问控制）。

Red Hat Single Sign-On 提供一些内置策略类型（及其相应策略供应商）涵盖了最常见的访问控制机制。您甚至可以根据使用 JavaScript 编写的规则创建策略。

定义了策略后，您可以开始定义权限。权限与其保护的资源相结合。在这里，您需要指定您要保护的内容（资源或范围）以及必须满足授予或拒绝权限的策略。

策略强制 涉及实际对资源服务器实施授权决策的必要步骤。这可以通过在能够与授权服务器通信的资源服务器中启用 策略强制点 或 PEP 实现，请求授权数据并根据服务器返回的决策和权限控制对受保护资源的访问。

Red Hat Single Sign-On 提供了一些内置 策略强制实施，您可以根据它们运行的平台来保护应用程序。

OAuth2 客户端（如前端应用）可以使用令牌端点从服务器获取访问令牌，并将这些令牌用于访问由资源服务器（如后端服务）保护的资源。同样，Red Hat Single Sign-On Authorization Services 为 OAuth2 提供扩展，允许根据处理与请求资源关联的所有策略来发布访问令牌。这意味着资源服务器可以根据服务器获得的权限强制访问其受保护的资源，并由访问令牌持有。在 Red Hat Single Sign-On Authorization Services 中，具有权限的访问令牌被称为 Requesting unsupported Token 或 RPT for short。

Protection API 是一组 兼容 UMA 的端点，为资源服务器提供操作，以帮助它们管理与其关联的资源、范围、权限和策略。只有资源服务器可以访问此 API，它还需要 uma_protection 范围。

保护 API 提供的操作可以分为两个主要组：

使用 UMA 协议时，保护 API 的 Permission Tickets 的确是整个授权过程的重要组成部分。如后续小节中所述，它们代表客户端所请求的权限，并发送到服务器来获取最终令牌，以便在评估与请求的资源和范围关联的权限和策略时获得所有权限。