用户管理
API7 企业版提供内置用户管理和基于角色的访问控制（RBAC）。你可以通过控制台或 Admin API 管理用户、角色和权限策略。
前置条件
默认管理员账户
API7 网关首次启动时会创建一个默认管理员账 户：
- 用户名：
admin - 密码：
admin - 角色：
super_admin
super_admin 角色是一个内置角色，具有对所有资源和操作的完全访问权限。为了安全起见，首次登录后请立即更改默认密码。
用户生命周期
通过邀请用户加入你的组织并分配适当的角色来管理用户。
邀请用户
要邀请新用户，请向 /api/invites 端点发送 POST 请求。
curl -k "https://localhost:7443/api/invites" -X POST \
-H "X-API-KEY: ${API_KEY}" \
-H "Content-Type: application/json" \
-d '{
"username": "developer_jane",
"password": "TemporaryPassword123!",
"name": "Jane Doe"
}'
列出用户
要检索所有用户 的列表：
curl -k "https://localhost:7443/api/users" -X GET \
-H "X-API-KEY: ${API_KEY}"
更新用户标签
更新前先获取用户信息，确认需要保留的现有标签：
curl -k "https://localhost:7443/api/users/${USER_ID}" \
-H "X-API-KEY: ${API_KEY}"
提交包含所有预期标签的完整标签映射：
curl -k "https://localhost:7443/api/users/${USER_ID}" -X PUT \
-H "X-API-KEY: ${API_KEY}" \
-H "Content-Type: application/json" \
-d '{
"labels": {
"team": "payments",
"environment": "production"
}
}'
labels 字段会替换整个标签映射，而不是合并单个条目。因此，新值和需要保留的现有标签都必须包含在请求中。
再次读取用户，确认完整的标签映射：
curl -k "https://localhost:7443/api/users/${USER_ID}" \
-H "X-API-KEY: ${API_KEY}"
此管理端点不会修改用户的姓名或邮箱。用户可通过控制台或 PUT /api/me 更新自己的显示名称；更换邮箱可通过控制台或 PUT /api/me/email 完成，但需要可用的 SMTP 配置和邮箱验证。
分配角色
通过更新分配的角色来向用户分配一个或多个角色。
curl -k "https://localhost:7443/api/users/${USER_ID}/assigned_roles" -X PUT \
-H "X-API-KEY: ${API_KEY}" \
-H "Content-Type: application/json" \
-d '{
"roles": ["role_id_1", "role_id_2"]
}'
删除用户
要从组织中删除用户：
curl -k "https://localhost:7443/api/users/${USER_ID}" -X DELETE \
-H "X-API-KEY: ${API_KEY}"
用户字段
用户资源包含以下关键字段：
| 字段 | 类型 | 描述 |
|---|---|---|
id | UUID | 系统为用户自动生成的唯一标识符。 |
username | 字符串 | 用于身份认证的唯一用户名。 |
name | 字符串 | 用户的显示名称。 |
email | 字符串 | 用户的电子邮件地址。 |
labels | 对象 | 附加到用户的完整标签集合。 |
provider | 枚举 | 身份认证来源：builtin（本地）、sso（OIDC/SAML）或 scim（SCIM 预配）。 |
roles | 数组 | 分配给用户的角色引用。 |
boundaries | 数组 | 直接附加到用户的权限边界，用于限制用户的有效权限。 |
角色
角色是定义用户可以执行的操作的权限策略的集合。
- 内置角色：API7 网关附带一个内置角色
Super Admin，该角色绑定到不可编辑的super-admin-permission-policy并授予对所有资源的完全访问权限。初始管理员账户永久绑定到此角色。 - 自定义角色：创建适合你的组织结构的角色，例如
api_provider、runtime_admin或viewer。请参阅基于角色的访问控制（RBAC）了解设计指南。
创建自定义角色
curl -k "https://localhost:7443/api/roles" -X POST \
-H "X-API-KEY: ${API_KEY}" \
-H "Content-Type: application/json" \
-d '{
"name": "API Provider",
"desc": "Can manage services and routes but cannot delete them.",
"policies": ["policy_id_1"]
}'
权限策略
权限策略定义细粒度访问控制规则。每项策略由一个或多个声明组成。
声明包括：
- 效果：
allow或deny。 - 资源：ARN 模式数组（例如，
arn:api7:gateway:gatewaygroup/<.*>）。 - 操作：
<namespace>:<Verb><Resource>形式的操作字符串数组（例如，gateway:GetGatewayGroup、iam:InviteUser）。 - 条件：可选约束，例如匹配标签（
MatchLabel）或验证字符串数组（AllOfStrings）。
请参阅权限策略和权限边界，了解权限边界和完整的 JSON 语法；参阅权限策略操作和资源，了解受支持操作的完整目录和 ARN。
权限策略示例
此策略允许对指定 ID 的网关组进行只读访问。
{
"name": "ReadOnlyProdGatewayGroup",
"desc": "Read-only access to the production gateway group.",
"policy_document": {
"statement": [
{
"effect": "allow",
"resources": ["arn:api7:gateway:gatewaygroup/prod-group-id"],
"actions": [
"gateway:GetGatewayGroup",
"gateway:GetGatewayInstance"
]
}
]
}
}
权限边界
权限边界是直接附加到用户而不是通过角色的策略。它们充当用户权限的“上限”。即使角色授予特定操作，用户也无法执行该操作，除非权限边界也允许。
使用边界将用户的操作限制在特定范围内，例如单个网关组或环境，无论他们拥有什么角色。
权限评估
API7 网关使用基于策略的评估引擎来授权请求。
- 引擎收集分配给用户角色的所有策略及用户的权限边界。
- 如果任何适用策略的效果为
deny，请求会立即被拒绝。 - 至少一个角色策略必须使用
allow允许该操作和资源。 - 如果用户设置了权限边界，则所有权限边界也必须允许该操作和资源。
- 如果没有策略明确允许该操作，则默认拒绝该请求。
单点登录（SSO）
API7 网关支持通过外部身份提供商进行身份认证和用户预配。
- OIDC（OpenID Connect）：与 Okta、Auth0 或 Google 等提供商集 成。
- SAML：支持企业身份系统。
- LDAP：根据 LDAP 目录对用户进行身份认证。
- SCIM：通过身份提供商自动预配和取消预配用户。
通过 SSO 或 LDAP 完成身份认证的用户，其 provider 字段为 sso；通过 SCIM 预配的用户，其 provider 字段为 scim。有关配置详情，请参见控制台单点登录（SSO）和为控制台配置 SCIM 预配。