Создание приложений с разными уровнями доступа с использованием Keycloak (RBAC)

Зачем нужны разные уровни доступа?

Представьте замок с множеством комнат. Не каждому гостю нужны ключи от всех дверей. Так же и в приложениях — разным пользователям нужны разные права доступа для выполнения своих задач, не мешая при этом другим.

Прежде всего, это вопрос безопасности. Если каждый пользователь имел бы полный доступ ко всем данным и функциям, это увеличило бы риск утечек информации и кибератак. Обычным пользователям не нужно видеть конфиденциальную информацию вроде финансовых данных компании или персональных данных других пользователей. Ограничивая доступ, вы минимизируете такие риски и защищаете важные ресурсы.

Кроме того, это помогает управлять ресурсами и поддерживать порядок в системе. Администраторы имеют доступ ко всему, потому что они отвечают за настройку и управление всей системой. Они могут создавать и удалять аккаунты, изменять конфигурации и отслеживать работу приложения. Пользователи же имеют доступ только к тем функциям, которые нужны им для работы. Это предотвращает случайные ошибки и злоупотребления.

Разделение уровней доступа также отражает организационную структуру. В любой компании есть своя иерархия: администраторы, менеджеры, сотрудники и, возможно, гости. У каждого свои роли и обязанности. Менеджеры могут управлять своими командами и просматривать отчеты, но не могут изменять системные настройки. Гости могут просто просматривать публичную информацию, не внося изменений и не видя защищенных данных.

Таким образом, разные уровни доступа помогают поддерживать порядок, безопасность и эффективность системы. Они позволяют каждому пользователю выполнять свои задачи, не мешая другим и не подвергая систему ненужным рискам.

Что такое Keycloak?

Keycloak — это мощное решение с открытым исходным кодом для управления идентификацией и доступом. Представьте его как охранника для вашего приложения, который следит за тем, чтобы только правильные люди получали доступ к соответствующим ресурсам. Он предлагает единый вход (SSO), федерацию идентичности и управление пользователями, упрощая администрирование и повышая безопасность.

Основные возможности Keycloak для управления доступом

Интеграция с FastAPI и Python

Keycloak легко интегрируется с приложениями FastAPI и Python. Используя библиотеку python-keycloak, вы можете подключиться к Keycloak, получить токены доступа и проверить роли пользователей, делая ваш код более безопасным и управляемым.

1from fastapi import FastAPI, Depends
2from fastapi_keycloak import FastAPIKeycloak, OIDCUser
3
4
5app = FastAPI()
6keycloak = FastAPIKeycloak(
7 server_url="http://localhost:8080/auth",
8 client_id="your-client-id",
9 client_secret="your-client-secret",
10 realm="your-realm",
11 callback_uri="http://localhost:8000/callback"
12)
13
14@app.get("/protected")
15def protected_route(user: OIDCUser = Depends(keycloak.get_current_user)):
16 return {"message": f"Привет, {user.username}"}
17
18if __name__ == "__main__":
19 import uvicorn
20 uvicorn.run(app, host="0.0.0.0", port=8000)

С таким подходом вы можете легко управлять доступом к разным частям вашего приложения, обеспечивая безопасность и удобство для пользователей. Keycloak предоставляет мощные инструменты для управления доступом, значительно упрощая настройку аутентификации и авторизации в современных веб-приложениях.

Базовая настройка Keycloak

Прежде чем мы сможем реализовать контроль доступа на основе ролей, нам нужно настроить Keycloak и сконфигурировать его для нашего приложения. Это включает создание realm, настройку клиентов и определение ролей.

Создание нового realm

Откройте браузер и перейдите по адресу вашего сервера Keycloak, обычно это http://localhost:8080/auth для локальной установки. Введите учетные данные, и вы попадете в консоль администратора.

Теперь создадим новый realm. В левом верхнем углу вы увидите выпадающее меню, нажмите на него и выберите «Add realm». Появится окно, где нужно ввести имя нового realm. Назовем его «test realm». Нажмите «Create», и готово — ваш новый realm создан.

Настройка клиента (приложения)

После создания realm нам нужно настроить клиента — это приложение, которое будет использовать Keycloak для аутентификации. В левом меню выберите «Clients» и нажмите «Create client». На новой странице нужно ввести client ID, например, «my-app». Оставьте тип клиента как «OpenID Connect».

Далее выберите Client authentication. Для публичных приложений его следует отключить.

Затем укажите redirect URL (Valid Redirect URIs). Это URL, на которые пользователь будет перенаправлен после аутентификации. Например, укажите http://localhost:8000. Нажмите «Save».

Теперь ваш клиент создан и настроен. Вы можете проверить и настроить дополнительные параметры клиента, такие как настройки сессий, права доступа и многое другое, в разделе «Clients» консоли администратора.

Создание и управление ролями в Keycloak

Теперь, когда у нас настроены realm и клиент, давайте создадим роли и будем ими управлять для реализации контроля доступа на основе ролей (RBAC) в нашем приложении.

Определение ролей

Теперь, когда у нас есть realm и клиент, займемся ролями. Роли в Keycloak — это как раздача ключей от разных дверей в вашем замке. Они определяют, кто что может делать в вашем приложении.

Создавать роли в Keycloak довольно просто. В консоли администратора перейдите в ваш realm «test realm», а затем выберите «Roles» в левом меню. Там вы увидите кнопку «Add Role». Нажмите на нее, чтобы создать новую роль. Дайте ей имя, например, «admin» для администраторов, «user» для обычных пользователей или «guest» для гостей. Нажмите «Save», и новая роль будет создана.

Создавая и назначая роли, вы можете четко определить, кто что может делать в вашем приложении, обеспечивая безопасность и управляемость.

Назначение ролей пользователям

Теперь, когда мы создали роли, посмотрим, как назначать их пользователям. Это поможет нам четко распределить права и доступ в нашем приложении.

Вот так просто можно создавать пользователей и назначать им роли в Keycloak. Это поможет вам управлять доступом к вашему приложению и обеспечит, что каждый пользователь имеет доступ только к тем функциям и данным, которые ему необходимы.

Интеграция Keycloak с Python приложением

Теперь, когда мы настроили Keycloak и сконфигурировали роли, давайте интегрируем его с нашим Python приложением для реализации контроля доступа на основе ролей.

Установка необходимых библиотек

Теперь интегрируем Keycloak с нашим Python приложением. Для этого нам понадобится несколько библиотек. Самая популярная библиотека для работы с Keycloak в Python называется python-keycloak. Начнем с ее установки.

1pip install python-keycloak

Готово! Библиотека установлена, и теперь мы можем использовать ее в нашем проекте.

Примеры использования библиотеки

Посмотрим, как можно использовать `python-keycloak` для работы с Keycloak. Сначала нужно создать экземпляр клиента Keycloak:

1from keycloak import KeycloakOpenID
2
3keycloak_openid = KeycloakOpenID(server_url="http://localhost:8080/auth/",
4 client_id="your-client-id",
5 realm_name="your-realm",
6 client_secret_key="your-client-secret")

Теперь можно использовать этот клиент для различных операций, например, для получения токена доступа:

1token = keycloak_openid.token("username", "password")

После получения токена мы можем использовать его для доступа к защищенным ресурсам. Вот пример запроса с использованием токена:

1import requests
2
3headers = {
4 "Authorization": f"Bearer {token['access_token']}"
5}
6
7response = requests.get("http://localhost:8000/protected", headers=headers)
8
9print(response.json())

Этот простой пример показывает, как легко интегрировать Keycloak с вашим Python приложением. Мы установили необходимую библиотеку, создали клиента для взаимодействия с Keycloak и использовали токен для доступа к защищенным ресурсам. Теперь ваше приложение готово к использованию централизованного управления доступом с Keycloak.

1# Декодируем токен для получения информации о пользователе и ролях
2token_info = keycloak_openid.introspect(token['access_token'])
3
4# Проверяем, есть ли у пользователя роль 'admin'
5if 'admin' in token_info.get('realm_access', {}).get('roles', []):
6    # Разрешаем доступ к функциям администратора
7    print("У пользователя есть права администратора")
8else:
9    # Ограничиваем доступ
10    print("У пользователя нет прав администратора")

Заключение

В этой статье мы изучили, как использовать Keycloak для реализации контроля доступа на основе ролей (RBAC) в ваших приложениях. Мы рассмотрели важность разных уровней доступа, что такое Keycloak и его ключевые особенности, как настроить Keycloak, создать роли и управлять ими, а также интегрировать его с Python приложением.

Используя Keycloak для аутентификации и авторизации, вы можете обеспечить безопасность вашего приложения и предоставить пользователям доступ только к тем ресурсам, которые им необходимы. Это не только повышает безопасность, но и делает ваше приложение более управляемым и удобным для пользователей.

Помните, что правильный контроль доступа — это критически важный аспект безопасности приложений. Реализуя RBAC с помощью Keycloak, вы делаете значительный шаг на пути к защите вашего приложения и его данных.