Keycloak用户跨客户端访问机制及关联应用权限管理问题咨询

应用权限的存储位置 #

不同系统的权限存储逻辑各有不同：

• Jira、Confluence：权限（比如项目访问权、操作权限）默认存在自身数据库里，Keycloak只管身份认证，权限能不能用还是由Atlassian自己的权限体系说了算。
• GitLab：仓库权限、组权限这类也存在自身数据库，SSO只解决登录验证的问题，权限配置还是得在GitLab里操作。
• 自研应用：看你的设计需求，要么存在自研应用的数据库，要么用Keycloak的客户端角色/领域角色统一存权限，让Keycloak来做授权判断。

是否会将Keycloak用户同步至自身数据库 #

这得看系统配置和实际需求：

• Jira、Confluence：默认会把Keycloak的用户基础信息（用户名、邮箱等）同步到自己的数据库，因为它们的权限体系需要关联本地的用户实体。
• GitLab：有两种模式可选——可以同步用户信息到本地，也可以只在登录时验证身份、不把用户数据存在本地，这种情况下GitLab会靠Keycloak返回的身份信息来匹配权限。
• 自研应用：完全由你决定。如果需要在本地做复杂的权限逻辑，可能要同步；如果想轻量化，也可以选择不同步，直接用Keycloak的身份断言就行。

不同步Keycloak用户ID时的权限关联方案 #

如果不把Keycloak用户同步到应用数据库，有几种办法能关联用户和权限：

• 用全局唯一标识映射：用邮箱、用户名这类在Keycloak和应用里都一致的唯一字段当关联键。比如应用数据库的权限表里存邮箱，登录时从Keycloak返回的JWT里拿到邮箱，直接匹配对应的权限。
• 通过JWT传递权限信息：在Keycloak里配置好用户的角色或权限，登录时把这些权限作为自定义Claims嵌入JWT。应用拿到JWT后解析出这些Claims，直接就能获取用户的权限，不用在本地存关联关系。
• Keycloak客户端角色映射：给每个应用在Keycloak里配置专属的客户端角色，把用户分配到对应的角色里。应用做授权时，调用Keycloak的API查当前用户在这个客户端下的角色，以此判断有没有权限。

内容的提问来源于stack exchange，提问作者Альберт Александров