了解 Bob 本地部署如何使用後端和前端授權來控制進階套件部署和使用者存取。

Bob 本地部署使用雙層授權模型來管理進階套件功能。你透過安裝設定啟用和部署進階套件工作負載（後端授權）。Bob 管理員接著授予使用者存取已安裝功能的權限（前端授權）。

注意：

所有可用的進階套件附加元件均擴充 Bob 以提供 IBM Z 應用程式現代化功能。有關每個附加元件提供的功能資訊，請參閱 Z Understand 和 Refactor。

授權模型概覽

授權層	管理員	用途
後端授權	叢集管理員	控制在部署中安裝和提供哪些進階套件工作負載。
前端授權	Bob 管理員	控制哪些使用者可以存取已安裝的進階套件功能。

進階套件只有在對應的工作負載在叢集中安裝並正常運作後，才能指派給使用者。

後端授權

後端授權決定部署哪些可選的 Bob 元件。在安裝前或升級期間，在 config.yaml 中設定這些設定。

附加元件	設定旗標	相依性	用途
Bob Premium Package for Z（RAG）	`rag.enabled: true`	無	提供針對 Z/I 特定語料庫的 RAG 和 z/OS 知識功能。
Bob Premium Package for Z（Proxy）	`zProxy.enabled: true`	需要 `rag.enabled: true`	在 API 閘道和 Z RAG 服務之間為 z/OS 服務流量提供 Proxy 層。
Bob Premium Package for Z Understand	`zUnderstand.enabled: true`	無	提供 z/OS 應用程式資產的自動分析和理解功能。

你必須在安裝前明確啟用每個附加元件。若要在部署後啟用附加元件，請更新設定並執行受支援的升級或重新部署程序。

重要：

未在基礎架構層啟用的進階套件不會部署到叢集，也無法指派給使用者。

注意：

每個啟用的附加元件都會部署額外的工作負載並增加叢集資源消耗。在啟用附加元件之前，請檢閱叢集規模指南，並確保有足夠的叢集容量。

前端授權

附加元件安裝並正常運作後，Bob 管理員可以透過 Bob Admin UI 授予使用者存取對應進階套件的權限。前端授權在不影響底層部署的情況下控制使用者存取。

若要指派進階套件存取權限：

以 Bob 管理員身分登入 Bob Admin UI。

找到使用者帳戶。

指派適當的進階套件授權。

儲存變更。

使用者只有在同時符合以下條件時，才能存取進階套件功能：

對應的附加元件已在叢集中安裝。

使用者已獲得所需的授權。

授權工作流程

以下序列說明如何端對端啟用進階套件存取：

你在 config.yaml 中啟用所需的附加元件。

在部署或升級期間安裝附加元件。

工作負載在 Bob 環境中變為可用。

Bob 管理員將對應的進階套件授權指派給使用者。

符合資格的使用者可以存取進階套件功能。

後端和前端授權之間的關係

後端和前端授權相互獨立但相輔相成：

後端授權決定部署中可用的功能。

前端授權決定誰可以使用這些功能。

安裝附加元件不會自動授予使用者存取權限。

指派進階套件授權不會安裝底層工作負載。

兩個層級都必須設定，使用者才能存取進階套件功能。

安全注意事項

管理進階套件存取和使用者授權時，請遵循以下安全建議：

限制只有叢集管理員才能存取 bob-keycloak-initial-admin Kubernetes Secret。請勿變更此 Secret 中儲存的密碼。Operator 使用這些憑證進行自動化協調，變更密碼將導致 Operator 功能失效。

始終在 Keycloak 的 bob realm 中執行使用者和授權管理。

請勿使用 master realm 進行 Bob 管理。它保留供 Keycloak 管理功能使用。

請勿在 Keycloak 中建立額外的 realm 或 client；Bob 依賴由 Operator 管理的 realm 設定。

管理授權