领域角色

## 使用角色和组分配权限
角色和组具有相似的目的，即授予用户使用应用程序的访问权限和权限。组是您应用角色和属性的用户的集合。角色定义特定的应用程序权限和访问控制。

角色通常适用于一种类型的用户。例如，组织可能包括admin、user、manager和employee角色。应用程序可以将访问权限和权限分配给角色，然后将多个用户分配给该角色，以便用户具有相同的访问权限和权限。例如，管理控制台具有授予用户访问管理控制台不同部分的权限的角色。

角色有一个全局命名空间，每个客户端也有自己的专用命名空间，可以在其中定义角色。
### 创建领域角色

![](/media/202309/2023-09-19_111555_370786.jpeg)
程序：

1. 单击创建角色。
 2. 输入角色名称。
 3. 输入描述。
 4. 单击“保存”。

添加角色

![](/media/202309/2023-09-19_111747_906555.jpeg)
可以通过用字符串指定替换变量来本地化描述字段${var-name}。本地化值在主题属性文件中配置为您的主题。

### 客户角色
客户端角色是专用于客户端的命名空间。每个客户端都有自己的命名空间。客户端角色在每个客户端的“**角色**”选项卡下进行管理。您与此 UI 的交互方式与与领域级角色的交互方式相同。

### 将角色转换为复合角色
任何领域或客户端级别的角色都可以成为复合角色。复合角色是具有一个或多个与其关联的附加角色的角色。当复合角色映射到用户时，用户将获得与复合角色关联的角色。这种继承是递归的，因此用户还可以继承任何组合的组合。但是，我们建议不要过度使用复合角色。

程序：

1. 单击菜单中的领域角色。
2. 单击您要转换的角色。
3. 从操作列表中，选择添加关联角色。

复合角色

![](/media/202309/2023-09-19_114450_656568.jpeg)
角色选择 UI 将显示在页面上，您可以将领域级别和客户端级别角色关联到您正在创建的复合角色。

在此示例中，员工领域级角色与开发人员复合角色相关联。任何具有开发人员角色的用户也会继承员工角色。
### 分配角色映射
您可以通过该用户的“**角色映射**”选项卡将角色映射分配给该用户。

程序
  1. 单击菜单中的用户。
  2. 单击要对其执行角色映射的用户。
  3. 单击角色映射选项卡。
  4. 单击分配角色。
  5. 从对话框中选择要分配给用户的角色。
  6. 单击分配。

角色映射

![](/media/202309/2023-09-19_141214_868952.jpeg)

在前面的示例中，我们将复合角色开发人员分配给用户。该角色是在复合角色主题中创建的。

有效的角色映射

![](/media/202309/2023-09-19_141807_341114.jpeg)

分配开发人员角色后，与开发人员组合关联的员工角色将显示为Inherited “True”。继承角色是显式分配给用户的角色和从组合继承的角色。

### 使用默认角色
通过Identity Brokering创建或导入用户时，使用默认角色自动分配用户角色映射。
程序
  1. 单击菜单中的领域设置。
  2. 单击用户注册选项卡。
  
默认角色

![](/media/202309/2023-09-19_142236_946635.jpeg)
此屏幕截图显示一些默认角色已经存在。

### 角色范围映射
创建 OIDC 访问令牌或 SAML 断言时，用户角色映射将成为令牌或断言内的声明。应用程序使用这些声明来对应用程序控制的资源做出访问决策。MaxId 对访问令牌进行数字签名，应用程序重新使用它们来调用远程安全的 REST 服务。然而，这些代币具有相关的风险。攻击者可以获取这些令牌并使用它们的权限来破坏您的网络。为了防止这种情况，请使用角色范围映射。

角色范围映射限制访问令牌内声明的角色。当客户端请求用户身份验证时，它们收到的访问令牌仅包含为客户端范围显式指定的角色映射。结果是您限制每个单独的访问令牌的权限，而不是授予客户端访问所有用户的权限。

默认情况下，每个客户端都会获取该用户的所有角色映射。您可以查看客户端的角色映射。

程序
  1. 单击菜单中的“客户端” 。
  2. 点击客户端即可查看详细信息。
  3. 单击客户端范围选项卡。
  4. 单击该客户端的专用范围和映射器行中的链接
  5. 单击范围选项卡。
  
范围全面

![](/media/202309/2023-09-19_142555_184545.jpeg)
默认情况下，作用域的有效角色是领域中每个已声明的角色。要更改此默认行为，请将“允许的完整范围”切换为“关闭”，并声明您希望在每个客户端中扮演的特定角色。您还可以使用客户端范围为一组客户端定义相同的角色范围映射。

部分范围

![](/media/202309/2023-09-19_142649_562649.jpeg)