令牌刷新时的部分JWT令牌

Question

在微服务架构中，我们使用来自keycloak的JWT令牌。 现在我们希望获得具有较少权限的第二个访问令牌（减少声明/减少角色）。 用例是：新的访问令牌应该使其所有者只能访问文档存储中的一个文档。 为什么？ 如果他可以偷走这个令牌，可以限制某人可以做的伤害。

理想情况下，我们可以通过特殊的refresh_token调用获取第二个令牌（持有刷新令牌的用户有权获得完整的访问令牌，因此他也应该能够获得部分访问令牌）。 我们怎么能这样做？

使用范围似乎不起作用：给定范围的列表仅在登录时进行评估（因此在刷新令牌时，我不能采用范围列表）。

我还尝试了解https://www.keycloak.org/docs/latest/authorization_services/index.html#_service_overview或RPT。 但不幸的是，我遗漏了一些文档（我的尝试失败了）。

还有其他想法吗？ 或者甚至可以举例说明如何做到这一点？

稍后编辑以使我对RPT的问题更加明确： https ： //www.keycloak.org/docs/latest/authorization_services/index.html#_service_overview说：

... Keycloak授权服务提供对OAuth2的扩展，以允许基于与所请求的资源或范围相关联的所有策略的处理来发布访问令牌。 这意味着资源服务器可以根据服务器授予的权限强制访问其受保护资源，并由访问令牌持有。 在Keycloak授权服务中，具有权限的访问令牌称为请求方令牌或简称RPT。

这样的具有权限的访问令牌可以用于我们的目标吗？

在我的实验中，我可以使用grant_type = urn获取令牌：ietf：params：oauth：grant-type：uma-ticket。 但是有一些问题：

• 我不得不更改keycloak中的一些设置以启用权限（在它说“客户端不支持权限”之前）。 在我做了这些更改之后，我的正常登录呼叫将不再有效（我可以在我的令牌仍然有效时进行测试）。 我不得不抓住我的keycloak配置继续工作。

• 我真的不了解用于此功能的权限模型

端到端示例很有用（Keycloak文档中的示例有点抽象）。

Answer 1

我已经进入了文档，通过保护资源服务器（您的应用程序）以充当受UMA保护的资源服务器，您可以实现您想要的。 在这里你有一个基本的例子，可以用这个来实现：

Keycloak是符合UMA 2.0标准的授权服务器，可提供大多数UMA功能。

作为示例，考虑使用网上银行服务（资源服务器）的用户Alice（资源所有者）来管理他的银行账户（资源）。 有一天，爱丽丝决定向会计专业人士鲍勃（请求方）开设银行账户。 但是，Bob应该只能访问Alice的帐户（范围）。

作为资源服务器，网上银行服务必须能够保护Alice的银行账户。 为此，它依靠Keycloak资源注册端点在服务器中创建代表Alice的银行帐户的资源。

此时，如果Bob尝试访问Alice的银行帐户，则访问将被拒绝。 网上银行服务为银行账户定义了一些默认策略。 其中之一是只允许所有者（在本例中为Alice）访问她的银行帐户。

但是，有关Alice隐私的网上银行服务也允许她更改银行账户的具体政策。 她可以更改的其中一项政策是定义允许哪些人查看她的银行帐户。 为此，网上银行服务依靠​​Keycloak向Alice提供一个空间，在那里她可以选择个人以及允许他们访问的操作（或数据）。 在任何时候，Alice都可以撤销访问权限或向Bob授予其他权限。

然后使用策略执行器来触发此保护：

如果资源服务器受策略实施器保护，它将根据随承载令牌携带的权限来响应客户端请求。 通常，当您尝试使用缺少访问受保护资源的权限的承载令牌访问资源服务器时，资源服务器将使用401状态代码和WWW-Authenticate标头进行响应。

HTTP/1.1 401 Unauthorized
WWW-Authenticate: UMA realm="${realm}",
    as_uri="https://${host}:${post}/auth/realms/${realm}",
    ticket="016f84e8-f9b9-11e0-bd6f-0021cc6004de"

这里有两个部分你需要做。 第一种方法是为要保护的应用程序路径添加策略实施 。 然后，这里是调味酱，你需要配置UMA部分 。 关于UMA的一个好处是它为授权过程增加了一个额外的票务系统，并且这个票据是按资源分配的（事实上，当您尝试访问受保护资源时，它们被分配）。

客户端请求受保护的资源而不发送RPT

curl -X GET \
  http://${host}:8080/my-resource-server/resource/1bfdfe78-a4e1-4c2d-b142-fc92b75b986f

资源服务器使用权限票据和as_uri参数向客户端发送响应，该参数包含应发送票证的Keycloak服务器的位置以获取RPT。 资源服务器使用权限票据进行响应

HTTP/1.1 401 Unauthorized
WWW-Authenticate: UMA realm="${realm}",
    as_uri="https://${host}:${post}/auth/realms/${realm}",
    ticket="016f84e8-f9b9-11e0-bd6f-0021cc6004de"

因此，客户端要求提供资源，并为其提供具有Keycloak服务器位置的票证，以便为RPT交换该票证。 这是客户端发布令牌端点然后，以获取RPT：

curl -X POST \
  http://${host}:${port}/auth/realms/${realm}/protocol/openid-connect/token \
  -H "Authorization: Bearer ${access_token}" \
  --data "grant_type=urn:ietf:params:oauth:grant-type:uma-ticket" \
  --data "ticket=${permission_ticket} \
  --data "submit_request=true"

这将为您提供RPT，该RPT仅对访问您第一次询问的资源有效。 说这个：

{
  "authorization": {
      "permissions": [
        {
          "resource_set_id": "d2fe9843-6462-4bfc-baba-b5787bb6e0e7",
          "resource_set_name": "Hello World Resource"
        }
      ]
  },
  "jti": "d6109a09-78fd-4998-bf89-95730dfd0892-1464906679405",
  "exp": 1464906971,
  "nbf": 0,
  "iat": 1464906671,
  "sub": "f1888f4d-5172-4359-be0c-af338505d86c",
  "typ": "kc_ett",
  "azp": "hello-world-authz-service"
}

您还需要管理用户对其资源的访问权限 。 这里使用管理UI完成，但您可能需要从应用程序中正确配置它，调用Keycloak API。