请求协助实现基于Keycloak的Orion API路径/动词级权限管控

1. 在Keycloak中定义细粒度权限规则 #

• 进入Keycloak控制台，找到你的Orion客户端，切换到「Authorization」标签页
• 创建API资源：针对Orion的接口路径定义资源，比如/v2/entities/*，命名为OrionEntities，并勾选需要管控的HTTP方法（GET/POST/PUT/DELETE等）
• 创建用户/组策略：关联目标用户或组，比如给admin组配置允许对OrionEntities执行所有HTTP方法；给viewer组仅配置允许GET方法
• 绑定权限：将创建的资源与策略关联，确保只有符合策略的主体能访问对应资源

2. 配置kong-pep-plugin开启授权校验 #

• 通过Kong Admin API或控制台更新插件配置，启用授权逻辑：

  curl -X PATCH http://kong-admin:8001/services/orion-service/plugins/{plugin-id} \
    -H "Content-Type: application/json" \
    -d '{
      "config": {
        "keycloak_url": "http://keycloak:8080/auth",
        "realm": "你的Realm名称",
        "client_id": "orion客户端ID",
        "client_secret": "客户端密钥",
        "enable_authorization": true,
        "enforce_permissions": true,
        "resource_matching_mode": "path_pattern"
      }
    }'
  

• 关键参数说明：
  • enable_authorization: 开启授权校验开关
  • enforce_permissions: 强制校验权限匹配，不通过则拦截请求
  • resource_matching_mode: 设置为path_pattern支持路径通配符匹配

3. 自定义权限匹配逻辑（按需扩展） #

如果Keycloak默认的资源匹配无法覆盖复杂场景，可以扩展kong-pep-plugin的逻辑：

• 找到插件的authorization.lua核心文件，修改match_resource函数，添加自定义的路径与HTTP方法匹配规则
• 例如，针对Orion的/v2/subscriptions路径单独配置权限，区分不同组的操作权限

4. 验证授权规则有效性 #

• 使用不同用户/组的Token发起请求测试：
  • 用viewer组Token发起POST请求到/v2/entities，应返回403 Forbidden
  • 用admin组Token发起相同请求，应返回200 OK
  • 可通过Keycloak「Authorization」标签页的「Evaluate」功能预校验权限规则是否配置正确

内容的提问来源于stack exchange，提问作者pasquy73