Keycloak UMA-服务帐户的Grant类型票证似乎不能与策略一起工作

Question

我试图使用Keycloak AuthzClient在资源服务器中注册资源和相关权限。

我有一个启用authz服务的资源服务器“ResourceServer”。

使用AuthzClient（使用包含资源服务器客户机id和机密的json文件初始化），我可以获得PAT。

    ...
    authzClient.obtainAccessToken().getToken();
    ResourceRepresentation resource = new ResourceRepresentation();
    resource.setName("myresource");
    resource.setUris(new HashSet<>(Collections.singletonList("urn:resourceserver:resourcetype1:myresource")));
    resource.setOwnerManagedAccess(true);
    resource.setType("urn:resourceserver:resourcetype1");
    resource.addScope("read", "write");
    resource = authzClient.protection(pat).resource().create(resource);


    UmaPermissionRepresentation permissionRepresentation = new UmaPermissionRepresentation();
    permissionRepresentation.setName("myresourcepermissions");
    permissionRepresentation.setDescription("foo");
    permissionRepresentation.addRole("somerole");
    UmaPermissionRepresentation result = authzClient.protection(pat).policy(resource.getId()).create(permissionRepresentation)

首先使用密码授权获取访问令牌：

grant_type=password&username=joe&password=password&client_id=somePublicClient

然后将其交换为RPT：

我一直在试图理解为什么会这样。我还尝试在UmaPermissionRepresentation中使用.addclient（“ServiceAccount1”）甚至.adduser（“Service-Account-ServiceAccount1”），但策略似乎仍然没有发挥作用，而且我的服务帐户没有访问资源的权限。

这使用的是Keycloak 4.8.0.final。

注意：使用keycloak管理客户机，我能够创建策略/权限，从而真正实现此功能；但在我的环境中，这会导致其他问题，因为我需要分配给管理客户机的角色（比如查看所有客户机以检索id等）

Answer 1

我对KeyCloak11.0.2也有同样的问题。共享资源最终不会出现在服务帐户的权限票证中。服务帐户在授权令牌服务中被显式排除。由于可以与服务帐户共享资源，这似乎不一致。

但是，您可以通过客户端上的协议映射器显式地将AZP声明设置为client_id以外的内容来解决这个问题。