JHipster支持Keycloak客户端资源授权配置吗？

Question

我有一个JHipster网关和微服务，目前配置为通过KeyCloak使用OAuth/OIDC。目前，所有资源都可供经过身份验证的用户使用。我希望使用keycloak中可用的细粒度安全性（启用对JHipster微服务客户机id的授权），通过资源id（如keycloak文档中所引用的）https://www.keycloak.org/docs/latest/authorization_services/index.html#_resource_server_enable_authorization来进一步保护安全。例如，将*/api/companes/{id}限制为只允许某些Keycloak用户/组。

2018-04-15 07:11:20.905 DEBUG 18184 --- [  XNIO-2 task-8] c.e.gateway.aop.logging.LoggingAspect    : Enter: com.example.gateway.web.rest.AccountResource.getAccount() with argument[s] = [org.springframework.security.oauth2.provider.OAuth2Authentication@2ea9380c: Principal: user; Credentials: [PROTECTED]; Authenticated: true; Details: remoteAddress=0:0:0:0:0:0:0:1, sessionId=<SESSION>, tokenType=bearertokenValue=<TOKEN>; Granted Authorities: company.jcb.role1, ROLE_USER]
2018-04-15 07:11:20.907 DEBUG 18184 --- [  XNIO-2 task-8] c.e.gateway.aop.logging.LoggingAspect    : Exit: com.example.gateway.web.rest.AccountResource.getAccount() with result = com.example.gateway.domain.User@3a45e83a
2018-04-15 07:11:22.208 DEBUG 18184 --- [oundChannel-104] c.e.g.web.websocket.ActivityService      : Sending user tracking data ActivityDTO{sessionId='hchu0fkx', userLogin='user', ipAddress='/0:0:0:0:0:0:0:1:54212', page='/', time='2018-04-15T13:11:22.208Z'}
2018-04-15 07:11:24.634 DEBUG 18184 --- [ XNIO-2 task-19] c.e.g.g.a.AccessControlFilter            : Access Control: allowing access for /micro/api/companies, as no access control policy has been set up for service: micro

Answer 1

由于Jhipster不支持https://www.Keycloak.org/docs/latest/authorization_services/index.html#_resource_server_enable_authorization中描述的Keycloak资源服务器授权，为了更细粒度地保护资源，我决定：

• 在创建我想在微服务中保护的资源时，我会通过Keycloak API动态创建Keycloak组层次结构。例如，如果我想保护对公司123和456的访问，并且我有以下角色：客户经理、雇员、主管，我将创建Keycloak组层次结构

123
- Account Manager
- Employee
- Supervisor  

456
- Account Manager
- Employee
- Supervisor

用户帐户可以分配给不同的组。例如，用户“John”可以访问公司“456”和角色“Employee”

>

通过Keycloak映射器（这是Keycloak客户机配置/映射器中的一个配置）将组层次结构添加为对JWT令牌的声明

在微服务中，对访问受限资源的任何查询使用添加的JWT组声明。