single-sign-on - 如何将客户端访问权限限制为仅在 keycloak 中的一组用户？

Question

我有一个客户 keycloak对于我的 awx(ansible 塔)网页。
我只需要来自一个特定 keycloak 的用户组才能通过此客户端登录。
如何禁止所有其他用户(除了一个特定组)使用此 keycloak客户？

Answer 1

我找到了一个不需要脚本扩展或对流程进行任何更改的解决方案。
此解决方案的关键是客户端范围。想要授权用户的应用程序需要电子邮件或 uid 之类的范围，对吗？如果您只在用户属于特定组的情况下将它们传递给应用程序怎么办？
在下文中，我的客户端应用程序名称是 App1。
解决方案:

转到您的客户角色(领域 -> 客户 -> 单击 App1 -> 角色)

单击“添加角色”-> 输入名称(例如“访问”)-> 单击“保存”

转到客户端范围(领域 -> 客户端范围)

单击客户端应用程序所需的范围(例如“电子邮件”)

通过在下拉“客户端角色”

中选择客户端应用程序“App1”，在“范围”选项卡中分配客户端角色“访问权限”

现在，您将无法再登录客户端应用程序 App1，因为“访问”角色未分配给任何用户或组。你可以试试。
让我们创建一个新组并将角色和用户分配给它。

创建组(领域-> 组-> 单击“新建”-> 输入名称“App1 用户”-> 单击保存)

在组中，选择“角色映射”，在客户端角色下拉列表中选择“App1”，然后分配角色“访问”

将用户分配给“App1 用户”(领域 -> 用户 -> 单击用户 -> 组 -> 选择 'App1 用户 -> 单击加入)

瞧，选择的用户可以登录 App1。