为啥角色里是读写权限 软件测试接口是拒绝

Web 界面勾选的【IPv4 地址对象组读写】，只是 Web 菜单权限，不等于 OMS 北向 API 权限。 OMS 是独立北向接口服务，底层走 NETCONF，这套接口的权限和 Web 菜单权限是两套 RBAC 控制体系，Web 上只勾选对象组读写，不会自动开放 OMS 接口。报错resource-denied就是 OMS/NETCONF 侧鉴权拒绝。

1. 你当前角色权限现状

• ✅ Web 侧：对象→IPv4 地址对象组：读写，所以网页里增删地址对象组正常；
• ❌ OMS 北向接口（/api/v1/OMS/IPv4Groups）属于 OM 模块北向能力，OMS 本身没有在这个角色里授权，和对象组权限是分开控制。

简单理解：Web 菜单权限只管页面按钮；OMS API 是另外一套北向接口权限，独立校验。

2. 两个可行解决办法（二选一） 方案 A（推荐）：给这个 autoblock 角色，补充 OMS 北向 / NETCONF 权限

• 要么直接使用预定义的netconf-operator或者admin类角色测试验证；
• 自定义角色需要在角色配置里开启 OMS / 北向接口 / NETCONF 相关权限（部分版本 Web 角色页面没有这个勾选框，只能命令行 role 增加 rule 放行 OMS 对应的 OID / 特性）。

方案 B：换 API，不用 OMS 路径 很多新版本防火墙有独立【对象 API】（不是/api/v1/OMS/开头），专门用来读写地址对象组；这个对象 API 是跟着 Web 对象权限走的，勾选 IPv4 对象组读写就可以直接调用，不会报 resource-denied。

你现在调用的/api/v1/OMS/IPv4Groups是 OMS 统一北向网关，它强制校验 OMS 访问权限，不是对象权限。

3. 快速验证手段 用管理员账号调用同一个 OMS 接口，如果管理员能正常返回，100% 确认是角色缺少 OMS/NETCONF 权限，不是 token、url、参数问题。
4. 补充坑点 不要混淆两个接口：

• /api/v1/object/xxx 对象专用 API：跟随 Web 对象权限；
• /api/v1/OMS/xxx OMS 聚合北向 API：独立 OMS 权限，门槛更高。