Keycloak-接收JWT令牌中的帐户服务角色，但需要自定义角色

Question

配置1如下所示。配置2如下所示。

问题始于access_token：

{
  "exp": 1619466995,
  "iat": 1619466935,
  "jti": "fcd20273-fb45-408c-9e20-126653d69719",
  "iss": "http://localhost:8082/auth/realms/efairy-realm",
  "aud": "account",
  "sub": "b1d89dc2-c12d-4c80-beed-c9a6065ec604",
  "typ": "Bearer",
  "azp": "efairy-backend",
  "session_state": "d4a2b283-2f54-4a17-9a27-99db26278ba7",
  "acr": "1",
  "allowed-origins": [
    "",
    "http://localhost:8083"
  ],
  "realm_access": {
    "roles": [
      "offline_access",
      "uma_authorization"
    ]
  },
  "resource_access": {
    "efairy-backend": {
      "roles": [
        "uma_protection",
        "user"
      ]
    },
    "account": {
      "roles": [
        "manage-account",
        "manage-account-links",
        "view-profile"
      ]
    }
  },
  "scope": "profile roles email",
  "clientHost": "172.23.0.1",
  "email_verified": false,
  "clientId": "efairy-backend",
  "groups": [
    "offline_access",
    "uma_authorization"
  ],
  "preferred_username": "service-account-efairy-backend",
  "clientAddress": "172.23.0.1"
}

我创建了一个名为moderator的新用户，并使用角色moderator，当我登录到该用户时，我接收我在选项卡“服务帐户角色”中设置的角色(resource_access.efairy-backend.roles)，但我希望获得我在角色映射选项卡中声明的角色。

答复：

access_token:“EYJHBGCIO...AJBA”,
expires_in:60,
not-befor-policy:1619128217,
refresh_expires_in:1799,
refresh_token:“EYJ..XQ_R0”,
scope:“Profile roles Email”,
session_state:“FCF1391D-...B11795C03F80”,
token_type:“Bearer”,

有人知道怎么修吗？：）

Answer 1

在Im重定向到前端应用程序中成功歌唱后，使用参数:
/auth/realms/efairy-realm/protocol/openid-connect/token
grant_type:client_credentials
client_id:efairy-backend
client_secret:
代码: 请求令牌

当您执行此操作时，将代表用户“service-account-efairy-backend”省略令牌，该用户是由Keycloak为客户端“efairy-backend”创建的用户。

我创建了一个名为moderator的新用户，并使用角色moderator，当我登录到该用户时，我接收我在选项卡“服务帐户角色”中设置的角色(resource_access.efairy-backend.roles)，但我希望获得我在角色映射选项卡中声明的角色。

您将获得在帐户角色中设置的角色，因为这些角色被分配给客户端（即用户“service-account-efairy-backend”)。因为用户moderator不是交互的一部分，所以角色moderator不是令牌的一部分。

此外，客户端凭据并不适合前端应用程序。从源代码中可以读到：

客户端凭据流动
对于计算机到计算机(M2M)应用程序（如CLI、后台进程或在后端运行的服务），系统将对应用程序进行身份验证和授权，而不是对用户进行身份验证和授权。对于这种情况，典型的身份验证方案（如用户名+密码或社交登录）是没有意义的。相反，M2M应用程序使用客户机凭据流（在OAuth 2.0 RFC 6749第4.4节中定义），在该流中，它们传递客户机ID和客户机秘密来验证自己并获得令牌。

在我看来，你的第三步可以移除了。第二步之后：

然后输入正确的用户和密码，然后单击“登录