#管理用户和角色

Keycloak 提供了全面的用户生命周期管理和细粒度的基于角色的访问控制（RBAC）。用户、角色和组均按 Realm 进行管理。

#用户管理

#创建用户

# Obtain an admin access token
ACCESS_TOKEN=$(curl -s -X POST \
  "https://<keycloak-host>/realms/master/protocol/openid-connect/token" \
  -d "client_id=admin-cli" \
  -d "username=<admin-user>" \
  -d "password=<admin-password>" \
  -d "grant_type=password" | jq -r '.access_token')

# Create the user
curl -s -X POST \
  "https://<keycloak-host>/admin/realms/<realm>/users" \
  -H "Authorization: Bearer $ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "username": "jdoe",
    "email": "jdoe@example.com",
    "firstName": "John",
    "lastName": "Doe",
    "enabled": true,
    "emailVerified": true,
    "credentials": [{
      "type": "password",
      "value": "changeme",
      "temporary": true
    }]
  }'

#重置用户密码

1. 在 Admin Console 中，转到 Users 并选择目标用户。
2. 单击 Credentials 选项卡。
3. 单击 Reset password。
4. 输入新密码，并在希望用户在下次登录时修改密码时切换 Temporary。
5. 单击 Save password。

#角色管理

Keycloak 支持两种类型的角色：

#创建 Realm 角色

1. 在 Admin Console 中，转到 Realm Roles。
2. 单击 Create role。
3. 输入 Role name 和可选的 Description。
4. 单击 Save。

#为用户分配角色

1. 转到 Users 并选择目标用户。
2. 单击 Role mapping 选项卡。
3. 单击 Assign role。
4. 选择要分配的角色，然后单击 Assign。

#组管理

Groups 允许您一次性管理多个用户的角色分配。向组分配角色后，所有组成员都会自动继承这些角色。

#创建组

1. 在 Admin Console 中，转到 Groups。
2. 单击 Create group。
3. 输入 Name 并单击 Create。
4. 在该组的 Role Mapping 选项卡中，分配所需的 Realm 或客户端角色。

#将用户添加到组

1. 转到 Users 并选择目标用户。
2. 单击 Groups 选项卡。
3. 单击 Join Group，选择组，然后单击 Join。

#复合角色

Composite Role 是一个包含其他角色的角色。当用户被分配到复合角色时，他们会继承其中包含的所有角色。这简化了复杂角色层次结构下的权限管理。

创建复合角色：

1. 创建一个 Realm 角色。
2. 在该角色的详细视图中，启用 Composite role。
3. 在 Associated roles 选项卡中，添加子角色。

#管理员访问控制

Keycloak 提供细粒度控制，用于管理哪些人可以管理各个 Realm，以及他们可以执行哪些操作。

#主节点 Realm 与特定 Realm 管理员

#细粒度管理员角色

每个 Realm 中的 realm-management client 提供了粒度更细的管理员角色。角色遵循 view-* / manage-* 模式——view-* 授予只读访问权限，manage-* 授予完整的 CRUD 访问权限，并且会隐式包含对应的 view-* 权限。

#权限边界

细粒度管理员权限具有以下边界：

• 委派管理员不能授予自己不具备的角色。拥有 manage-users 但没有 manage-clients 的用户不能分配客户端角色。
• 委派管理员不能访问其他 Realm，除非他们在那些 Realm 中也具有相应角色。
• realm-admin 复合角色包含所有单独的管理员角色。仅当需要完整的 Realm 管理权限时才分配它。

#创建委派管理员

要创建一个只能管理特定 Realm 中用户的管理员用户：

1. 在目标 Realm 中创建一个用户。
2. 转到该用户的 Role mapping 选项卡。
3. 单击 Assign role > Filter by clients。
4. 搜索 realm-management。
5. 分配 view-users、manage-users、query-users 和 query-realms 角色。
6. 该用户现在可以使用 https://<keycloak-host>/admin/<realm>/console 访问 Admin Console，并且权限受限。