Блог

Я хочу управлять политиками для своих ресурсов в Keycloak через конечную точку, совместимую с UMA. Итак, я создал ресурс profile с областями view_users, invite_users, edit_users .

Затем я перешел к созданию политик с использованием API политики.

 ## POST
{
    "name": "can_view_users",
    "logic": "NEGATIVE",
    "decisionStrategy": "AFFIRMATIVE",
    "clients": ["uma_postman"],
    "scopes": ["view_users"],
    "roles": ["uma_postman/lg_admin", "uma_postman/sales", "uma_postman/customer_admin"],
    "users": ["37ae8b1e-f1b0-4e72-b6ac-5ad1e49f89d7", "3627cb69-23ed-474d-abec-8f31b230b730"]
}
  

Я могу запросить это ( GET http://localhost:8080/auth/realms/ng_whs/authz/protection/uma-policy ), и кажется, что политика создана правильно.

Теперь я понимаю, что, поскольку стратегия принятия решений является УТВЕРДИТЕЛЬНОЙ, а логика ОТРИЦАТЕЛЬНОЙ, для любой из вышеупомянутых ролей — lg_admin, sales, customer_admin или пользователя с указанными выше идентификаторами, мне не должен быть разрешен доступ к ресурсу.

Однако, когда я запрашиваю как пользователь с указанной выше ролью или идентификатором, я все еще не получаю отказ в доступе.

Теперь, когда я меняю логику на ПОЛОЖИТЕЛЬНУЮ для той же политики, ответ остается тем же. Я что-то здесь упускаю? Любая помощь была бы действительно оценена. 🙂

Я следовал инструкциям отсюда —keycloak.org/docs/latest/authorization_services/#_service_authorization_uma_policy_api