每个用户的Keycloak harcoded声明

Question

我使用微服务架构。每个服务都使用承载访问类型。用户通过公共服务获得令牌。每种服务都是业务应用，具有自己的优势。Rabbit mq用作进程间通信。Keycloak通过JWT为每个服务传输用户角色。但我想在用户的令牌中转移用户的privelegies。

像这样：

priveleges:[
 {resource: subjects,
  roles:[ADMIN,OPER,COMPLAINCE],
  categories:[
    read:[1,2,3,4,5],
    write:[3,4,5],
    delete:[3,4,5] 
  ],
  notes:[
    read:[1,2,3,4,5],
    write:[3,4,5],
    delete:[3,4,5]  
  ],
  subject:[
    read:true,
    write:true,
    delete:false
  ],
  addresses:[
    read:true,
    write:true,
    delete:false
  ]
 },


 {resource: cards,
  roles:[ADMIN,OPER,COMPLAINCE],
  card:[
    read:true,
    write:true,
    delete:false
  ],
  fin-operation:[1,2,3,4,5],
  non-fin-operation:[1,2,3,4]
 }
]

我有两个问题：

{ "priveleges":[ { "resource":"subjects", "roles":[ "ADMIN", "OPER", "COMPLAINCE" ], "categories":[ { "read":[ 1, 2, 3, 8, 5 ] }, { "write":[ 3, 9, 5 ] }, { "delete":[ 3, 6, 5 ] } ], "notes":[ { "read":[ 1, 2, 3, 7, 5 ] }, { "write":[ 3, 4, 5 ] }, { "delete":[ 3, 4, 5 ] } ] }, { "resource":"cards", "roles":[ "ADMIN", "OPER", "COMPLAINCE" ], "fin-operation":[ 1, 2, 3, 4, 5 ], "non-fin-operation":[ 1, 2, 3, 4 ] } ] }

Answer 1

我可以在keycloak中为每个用户设置不同的特权吗？我知道在KeyCloak中使用带有硬编码映射器类型的ProtocolMapper是可能的。在这种情况下，它将为所有用户提供一个，但我需要为每个用户提供privelegies声明。

如果我正确理解“特权”的意思，您至少可以通过以下两种方式实现它：1）相应地创建并分配领域角色给用户，并在每个用户上创建自定义的用户属性。或者，您可以使用Keycloak授权特性来处理这个问题，但这需要一些工作。

在令牌中传递特权，以便以后可以在后端和前端处理这些特权，这是正确的吗？

是的，通常使用Keycloak进行身份验证，并使用后端根据为某个用户请求的令牌注入的角色来执行授权部分。

让我给大家提供一个说明性的例子。首先通过转到以下位置创建领域角色：

• 您的领域；
• 选择角色；
• 添加角色；
• 现在为ADMIN、OPER和Compulce创建一个单独的角色；
• 保存这些角色；

将选项卡切换到角色映射；

现在转到属性；

将其余的声明添加到用户中。例如，键=“PriveLeges”和值={“资源”：“主题”，“类别”：[{“读取”：[1,2,3,8,5]}，{“写入”：[3,9,5]}，{“删除”：[3,6,5]}，“注释”：[{“读取”：[1,2,3,7,5]}，{“写入”：[3,4,5]}，{“删除”：[3,4,5]}。

要完成此操作，您需要创建一个映射器来将新创建的用户属性映射到令牌中。为此，请转到：

• 您的领域；
• 客户端；
• 选择您的客户端；
• 映射器；
• 创建；
• 填满字段，即
  • 名称：“priveleges”
  • 作为映射器类型选择“用户属性”；
  • 用户属性:priveLeges；
  • 令牌声明名称:priveLeges；
  • 声明JSON类型:JSON；
  • 相应填满其余部分。
  • 单击“保存”。

  

  现在代表用户向客户端请求一个令牌。解码后的令牌将如下所示：

   "iat": ......,
    "jti": "......",
    "iss":  "......",
    "aud":  "......",
    "sub":  "......",
    "typ":  "......",
    "azp":  "......",
    "session_state":  "......",
    "acr": "1",
    "allowed-origins": [
      "http://localhost:8080"
    ],
    "realm_access": {
      "roles": [
        "COMPLAINCE",
        "offline_access",
        "uma_authorization",
        "ADMIN",
        "OPER",
        "app-user"
      ]
    },
    "resource_access": {
      "springboot-microservice": {
        "roles": [
          "user"
        ]
      },
      "account": {
        "roles": [
          "manage-account",
          "manage-account-links",
          "view-profile"
        ]
      }
    },
    "scope": "profile email",
    "email_verified": true,
    "priveleges": {
        "resource": "subjects",
        "categories": [
          {
            "read": [
              1,
              2,
              3,
              8,
              5
            ]
          },
          {
            "write": [
              3,
              9,
              5
            ]
          },
          {
            "delete": [
              3,
              6,
              5
            ]
          }
        ],
        "notes": [
          {
            "read": [
              1,
              2,
              3,
              7,
              5
            ]
          },
          {
            "write": [
              3,
              4,
              5
            ]
          },
          {
            "delete": [
              3,
              4,
              5
            ]
          }
        ]
     },
    "name": "e 1",
    "preferred_username": "employee1",
    "given_name": "e",
    "family_name": "1",
  }
  

   "realm_access": {
      "roles": [
        "COMPLAINCE",
        "offline_access",
        "uma_authorization",
        "ADMIN",
        "OPER",
        "app-user"
      ]