KeyCloak:访问令牌client-1以管理client-2资源
我在KeyCloak有两个客户：
- CP:客户端公共
- 抄送：已启用服务帐户和若干资源的客户端机密。
org.keycloak.authorization.client.util.HttpResponseException: Unexpected response from server: 403 / Forbidden / Response from server: {\"error\":\"invalid_clientId\",\"error_description\":\"Client application [CP] is not registered as a resource server.\"}
fun onlyOwner(accessToken: String, id: String, resourceId: String) {
val request = UmaPermissionRepresentation()
request.name = "Only owner can view $id"
request.description = "Only owner can view this resource"
request.scopes = setOf(ResourceScope.VIEW)
request.condition = ONLY_OWNER_CONDITION
authzClient.protection(accessToken).policy(resourceId).create(request)
}
-
null
{
"exp": 1606687405,
"iat": 1606651407,
"auth_time": 1606651405,
"jti": "1e4075a9-ce49-4462-91f7-33b8963f56dd",
"iss": "http://localhost/auth/realms/test",
"aud": "account",
"sub": "8381b629-5f10-401c-ae90-bb37769e5f70",
"typ": "Bearer",
"azp": "CP",
"session_state": "6c2d73e7-a4bd-44da-b242-cdf26ec812bc",
"acr": "1",
"allowed-origins": [
"*"
],
"realm_access": {
"roles": [
"offline_access",
"uma_authorization"
]
},
"resource_access": {
"account": {
"roles": [
"manage-account",
"manage-account-links",
"view-profile"
]
}
},
"scope": "openid email profile",
"email_verified": true,
"name": "Test First",
"preferred_username": "test",
"given_name": "Test",
"family_name": "First",
"email": "test@invent.com"
}
交换的令牌：
{
"exp": 1606687405,
"iat": 1606652039,
"auth_time": 1606651405,
"jti": "0c84f42a-973e-4bc7-9a6d-2c4fec548512",
"iss": "http://localhost/auth/realms/test",
"aud": [
"account",
"CC"
],
"sub": "8381b629-5f10-401c-ae90-bb37769e5f70",
"typ": "Bearer",
"azp": "CP",
"session_state": "6c2d73e7-a4bd-44da-b242-cdf26ec812bc",
"acr": "1",
"allowed-origins": [
"http://localhost"
],
"realm_access": {
"roles": [
"offline_access",
"uma_authorization"
]
},
"resource_access": {
"account": {
"roles": [
"manage-account",
"manage-account-links",
"view-profile"
]
}
},
"scope": "email profile",
"email_verified": true,
"name": "Test First",
"preferred_username": "test",
"given_name": "Test",
"family_name": "First",
"email": "test@invent.com"
}
但是错误仍然存在，alghout aud从帐户更改为[account,cc]。
共有1个答案
解决方案是使用目标客户机(cc)作为client_id和client_secret交换令牌。之后，可以使用Keycloak返回的access_token作为承载令牌创建UMA_Policy。
-
我使用Keycloak来保护我的react前端和Node.js后端。这些客户端使用基于角色的授权进行保护。 我尝试这个endpoint来撤消用户访问令牌。但不起作用/auth/admin/realms//users/ 是否有方法在Keycloak中撤销特定用户的访问令牌？
-
我试图使用从Spring应用程序中的公共客户端获取访问令牌。 谁能帮我弄清楚我做错了什么吗？
-
我已经在这里阅读了关于刷新令牌的解释:https://stackoverflow.com/a/36280559/11634814，我认为它很有意义。简而言之，刷新令牌很有用，因为每次只有一个未过期的访问令牌与每个刷新令牌相关联。如果Bob偷了Alice的refresh令牌，我们可以检测到这一点，因为他会尝试使用它用Alice的令牌发出新的请求，即使Alice的访问令牌没有过期。 当相应的访问令牌未
-
我正在使用谷歌API Java客户端来管理从谷歌应用程序引擎访问谷歌驱动器API。 如何管理访问令牌过期？你怎么看这个策略： > 一旦我登录到web应用程序，我就会从刷新令牌中获得一个访问令牌，并将其存储在会话中。我必须如何创建一个谷歌凭据对象从刷新令牌存储在数据库？ 谢了。
-
我必须将一个遗留的身份验证系统移到Keycloak，并且我不能更改客户端上的实际工作流。因此，我需要用我的api（在node.js中）提供一个用户创建和登录系统，该系统反过来代表用户从Keycloak创建和获取访问令牌。 我能够创建一个用户，但我无法找到为该用户生成访问令牌的方法。我找到的唯一解决办法是创建一个用户并设置一个随机密码，然后要求授予提供用户名和密码的用户，但这意味着我必须在自己的一侧
-
我有一个Keycloak（独立）V1.9.4。最后在AWS实例上使用Wildfly 10安装安装程序，并尝试使用Keycloak（通过Keycloak的登录页面）和Twitter4j来验证Twitter用户，然后明显地让我的应用程序验证并查看用户的时间线等。 我已经配置了身份提供程序(Twitter)、领域和我的客户端应用程序。 我还在apps.Twitter.com上设置了一个Twitter应用