keycloak - 允许客户端从 keycloak 中检索用户

Question

我想让我的客户端应用程序从 keycloak 访问用户信息。因此，我在 keycloak 中创建了另一个领域 (myrealm1)，并在该领域内创建了一个新客户端 (myclient1)。

key 斗篷配置:

客户端配置

其实我试了很多其他的组合都没有成功。

在客户端范围选项卡中，我添加了管理客户端范围在服务帐户角色选项卡中，我添加了管理员角色

客户端范围配置

对于管理员客户端范围，我在范围选项卡中分配了管理员角色。

领域角色配置

对于管理领域角色，我在关联的角色选项卡中分配了管理员角色。

REST API 调用

这些是我正在使用的 REST API 调用

curl --location --request POST 'http://localhost:8080/realms/myrealm/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id=myclient1' \
--data-urlencode 'client_secret=PehR9f95woZmEEHcKfSgPaosu1Yt6P9s' \
--data-urlencode 'grant_type=client_credentials'

返回

{
    "access_token": "eyJhbGciOiJS...",
    "expires_in": 300,
    "refresh_expires_in": 0,
    "token_type": "Bearer",
    "not-before-policy": 0,
    "scope": "email profile admin"
}

到目前为止一切顺利，我确实得到了一个 token 。

curl --location --request GET 'http://localhost:8080/admin/realms/myrealm/users' \
--header 'Accept: application/json' \
--header 'Authorization: Bearer eyJhbGciOiJS...'

返回HTTP 403

{
    "error": "unknown_error"
}

这与预期不符。预期结果将是用户信息。

顺便说一句，我确实让它为 master 领域的管理员用户工作

curl --location --request POST 'http://localhost:8080/realms/master/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id=admin-cli' \
--data-urlencode 'username=admin' \
--data-urlencode 'password=password' \
--data-urlencode 'grant_type=password'

但这不是我想要的。我想让它为我的自定义客户端工作。

设置

我正在使用 keycloak 19.0.3

我的问题

让它工作还缺少什么？ IE。如何使我的客户端能够使用 key 斗篷 REST API，例如/admin/realms/myrealm/users

Answer 1

你需要去:

• 你的领域；
• 您的客户；
• 然后转到服务帐户；

• 点击分配角色；
• 选择按客户筛选；
• 并搜索“领域管理”

• 选择并分配所需的角色。