第 11 章 控制对管理控制台的访问

在 Red Hat Single Sign-On 上创建的每个域都有一个专用管理控制台，该控制台可从中管理该域。主 域是一个特殊的域，它允许管理员管理系统上的多个域。您还可以定义不同域中用户的精细访问来管理服务器。本章在这款方案中都进行了介绍。

11.1. Master realm 访问控制

Red Hat Single Sign-On 中的 master 域是一个特殊的域，它和其它域不同。Red Hat Single Sign-On master 域中的用户有权管理在 Red Hat Single Sign-On 服务器上部署的零个或更多域。创建域后，Red Hat Single Sign-On 会自动创建不同的角色，授予精细权限来访问该新域。可以通过将这些角色映射到主域中的用户来控制管理控制台和 Admin REST 端点 的访问权限。可以创建多个超级用户，以及只能管理特定域的用户。

11.1.1. 全局角色

master 域中有两个 realm 级别的角色。以下是：

  • admin
  • create-realm

具有 admin 角色的用户是超级用户，并具有完全访问权限来管理服务器上的任何域。具有 create-realm 角色的用户可以创建新的域。它们将被授予他们所创建的任何新域的完全访问权限。

11.1.2. realm 特定角色

master realm 中的 admin 用户可以获得系统的一个或多个其他域的管理权限。Red Hat Single Sign-On 中的每个域都由主域中的客户端表示。客户端的名称为 < realm name>-realm。这些客户端各自定义了客户端级别的角色，定义不同的访问级别来管理单个域。

可用的角色有：

  • view-realm
  • view-users
  • view-clients
  • view-events
  • manage-realm
  • manage-users
  • create-client
  • manage-clients
  • manage-events
  • view-identity-providers
  • manage-identity-providers
  • 模拟(imimimation)

为用户分配您要的角色，并且他们只能使用管理控制台中的特定部分。

重要

具有 manage-users 角色的管理员只能将 admin 角色分配给他们自己具有的用户。因此，如果管理员具有 manage-users 角色，但没有 manage-realm 角色，则无法分配此角色。