如何使用公共客户端发出的令牌查询keycloak资源权限

Question

我有一个受KeyCloak保护的前端Javascript客户端。前端应用程序的Keycloak客户机类型为public，称为blog_gui。

我还有一个受机密客户端“blog_api”保护的API，并启用了授权。

当我从前端应用程序向API发出请求时，我从public客户机(blog_gui)发送由keycloak发出的JWT作为请求头中的承载令牌。

http://${host}:${post}/auth/realms/${realm}/authz/protection/uma-policy

{
    "error": "invalid_clientId",
    "error_description": "Client application [blog_gui] is not registered as a resource server."
}

Answer 1

在您的场景中，keycloak-js将查询Keycloak以获取具有访问群体/客户机blog_gui的访问令牌。此客户端是公共的，因此不是注册的资源服务器。您可能希望执行令牌交换，以获得后端客户机的访问令牌(blog_api)，并使用获得的令牌查询uma-policyendpoint。您可以在这里的授权服务文档中找到关于如何查询endpoint的其他信息。

确保您的blog_api客户端是机密的，并且启用了授权。关于如何相应地设置客户端，您可以参考本文档。