如何用Keycloak实现第三方服务SuperAwesomeManager的SKU级API权限控制

针对你的场景，可通过以下步骤用Keycloak实现SuperAwesomeManager的权限限制：

1. 为第三方服务创建服务账户（Service Account） #

• 在Keycloak控制台中创建新客户端，命名为SuperAwesomeManager，设置访问类型为confidential（确保服务能安全获取令牌），并开启服务账户启用选项。
• 保存后，记录该客户端的Client ID和Client Secret（后续用于获取访问令牌）。

2. 配置细粒度权限规则 #

方式一：基于角色的权限控制 #

• 在Stock Manager的客户端下，创建专属角色，比如product:read:MY_PROD_SKU_1，明确该角色仅允许读取SKU为MY_PROD_SKU_1的产品数据。
• 将这个角色分配给SuperAwesomeManager的服务账户：进入该客户端的「服务账户」页面，在「角色映射」中添加上述自定义角色。

方式二：基于Keycloak授权服务的细粒度控制（更灵活） #

• 为Stock Manager API注册资源：在Keycloak的「授权」菜单中，为Stock Manager创建资源（如ProductAPI），并定义属性sku=MY_PROD_SKU_1。
• 定义范围：创建read范围，关联到该资源，代表读取操作权限。
• 创建策略：添加「客户端策略」指定仅允许SuperAwesomeManager客户端访问；再添加「属性策略」匹配资源的sku=MY_PROD_SKU_1属性。
• 绑定权限：将上述策略与ProductAPI资源的read范围绑定，确保只有满足条件的请求能通过授权。

3. Stock Manager API集成权限校验 #

• 在API的认证拦截器中，先验证请求携带的JWT令牌有效性（通过Keycloak公钥验证签名、过期时间等）。
• 若用角色控制：解析令牌中的resource_access.StockManager.roles字段，检查是否包含product:read:MY_PROD_SKU_1角色，同时校验请求的SKU参数是否为MY_PROD_SKU_1。
• 若用授权服务：调用Keycloak的授权端点，传入令牌、资源和范围，由Keycloak直接返回授权结果，API根据结果决定是否放行。

4. 第三方服务获取访问令牌 #

• SuperAwesomeManager使用**客户端凭证流（Client Credentials Flow）**向Keycloak令牌端点发请求，携带Client ID、Client Secret和scope=StockManager参数，获取访问令牌。
• 请求示例（curl命令）：

curl -X POST \
  https://your-keycloak-domain/auth/realms/your-realm/protocol/openid-connect/token \
  -H 'Content-Type: application/x-www-form-urlencoded' \
  -d 'grant_type=client_credentials&client_id=SuperAwesomeManager&client_secret=your-client-secret&scope=StockManager'

• 拿到令牌后，调用Stock Manager API时将其放入Authorization: Bearer <token>请求头中。

关键注意事项 #

• 客户端密钥需妥善存储，避免硬编码，可使用环境变量或密钥管理工具。
• 权限规则可按需调整，后续新增SKU权限只需扩展角色或资源属性即可。
• 定期轮换客户端密钥，降低泄露风险。

内容的提问来源于stack exchange，提问作者Prabhjeet Singh