Keycloak无法使用服务帐户令牌获得具有权限的RPT

Question

我使用的是keycloak:4.8.3.final

UserService（作为service-account）在service-account-roles选项卡中分配了必要的客户端角色

每当有人试图访问InventoryService的APIs时，我都会执行以下操作：

• 从授权标头获取访问令牌
• 获取RPT（如本文所述）
• 检查RPT是否存在所需的权限。

{
  "error": "invalid_resource",
  "error_description": "Resource with id [item] does not exist."
}

AuthorizationResource authResource = authzClient.authorization(at);
AuthorizationRequest request = new AuthorizationRequest();
request.addPermission(resourceId, scopes);
AuthorizationResponse authResponse = authResource.authorize(request);
String rpt = authResponse.getToken();

顺便说一句，另一个观察是：当令牌属于用户（而不是服务帐户）时，上面的代码片段可以正常工作。

有人能让我知道发生了什么吗？这是KeyCloak中的bug吗？

Answer 1

这个问题在KeyCloak 11.0.2中仍然存在。服务帐户在授权令牌服务中被显式排除。

但是，您可以通过在客户机上的协议映射器将AZP声明设置为client_id以外的内容来解决这个问题。