V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
V2EX 提问指南
yaott2020
V2EX  ›  问与答

请教一下 keycloak 应用权限设置

  •  
  •   yaott2020 · 2022-09-19 09:10:20 +08:00 · 1185 次点击
    这是一个创建于 796 天前的主题,其中的信息可能已经有所发展或是发生改变。
    创建一个 realm(auth),创建两个 client(app1 app2),创建两个 role(role1 role2),创建两个 user(userA userB)并且分别分配到 role1 和 role2 。

    现在想做这样的权限设置:app1 只允许 role1 访问,app2 只允许 role2 访问,应该怎么设置?

    两个应用都是 openid-connect 接入,client 都是 web 应用,使用 openresty+lua-resty-openidc
    12 条回复    2022-09-20 14:33:38 +08:00
    hmz0327
        1
    hmz0327  
       2022-09-19 09:38:50 +08:00
    client 里好像可以创建 role
    hmz0327
        2
    hmz0327  
       2022-09-19 09:40:53 +08:00
    创建 user 时可以指定 clientRoles
    yaott2020
        3
    yaott2020  
    OP
       2022-09-19 10:00:30 +08:00 via Android
    clientRole 和 role 要怎么关联呢
    Casbin
        4
    Casbin  
       2022-09-19 10:02:01 +08:00
    @yaott2020 用 casdoor ,可以很容易设置角色的应用权限: https://casdoor.cn/
    yaott2020
        5
    yaott2020  
    OP
       2022-09-19 10:04:37 +08:00 via Android
    @Casbin 就是刚从 casdoor 切过来。。。感觉 casdoor bug 还挺多的。。。
    hmz0327
        6
    hmz0327  
       2022-09-19 11:31:45 +08:00
    在 Configure->Roles 里创建的是 realmRole ,Client 里创建的 Role 是 clientRole ,它们的权限范围是不一样的。
    hmz0327
        7
    hmz0327  
       2022-09-19 11:39:58 +08:00
    我也刚用没多久,懂得也不太多
    yaott2020
        8
    yaott2020  
    OP
       2022-09-19 11:49:51 +08:00 via Android
    @hmz0327 那需要怎样关联呢,如果在用户设置里面关联,好像只能关联一个 client
    hmz0327
        9
    hmz0327  
       2022-09-19 13:11:48 +08:00
    在用户设置里面是可以关联多个的,切换另一个 client 然后关联就行了。
    hmz0327
        10
    hmz0327  
       2022-09-19 13:12:53 +08:00
    在 UserRepresentation 类里,clientRoles 是个 Map 类型。
    protected Map<String, List<String>> clientRoles;
    clickhouse
        11
    clickhouse  
       2022-09-19 13:42:53 +08:00   ❤️ 1
    不确定 lua-resty-openidc 是否可以拿到用户在特定 client 或者 realm 的 role 信息, 如果可以的话直接判断就行。
    如果只能拿到用户基本信息,可以依靠 keycloak 本身去做权限判断和拦截,用这个插件: https://github.com/sventorben/keycloak-restrict-client-auth
    yaott2020
        12
    yaott2020  
    OP
       2022-09-20 14:33:38 +08:00 via Android
    11 楼方法可行
    关于   ·   帮助文档   ·   博客   ·   API   ·   FAQ   ·   实用小工具   ·   2890 人在线   最高记录 6679   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.5 · 23ms · UTC 03:32 · PVG 11:32 · LAX 19:32 · JFK 22:32
    Developed with CodeLauncher
    ♥ Do have faith in what you're doing.