Camunda 8自托管集群租户授权失败：无法部署流程/调用gRPC API

• 确认权限的租户范围：给应用分配zeebe api write:*等权限时，要确保权限的租户范围选择了对应的租户（包括<default>）。多租户模式下，权限默认不会自动覆盖所有租户，必须明确指定目标租户或勾选「所有租户」选项。

• 验证JWT令牌的租户声明：获取M2M账号的OAuth2令牌后，用jwt.io解析，检查是否包含tenant-id或camunda-tenant声明，且值与目标租户ID一致。如果令牌中缺失租户标识，Zeebe网关会判定请求未授权。

• 检查Zeebe网关的多租户配置：确认K8s中Zeebe网关的环境变量配置：

  • ZEEBE_GATEWAY_AUTHORIZATION_MULTITENANCY_ENABLED设为true
  • ZEEBE_GATEWAY_AUTHORIZATION_IDENTITY_URL指向Identity的正确地址
  • 确保网关能正常连接Identity，没有网络或认证问题

• 配置内置zeebe应用的权限：内置的zeebe应用默认没有关联租户权限，需要在Identity中手动为其添加租户关联，并分配zeebe api read:*、zeebe api write:*等必要权限，不能直接使用默认配置。

• Camunda Modeler的租户设置：在Modeler的Zeebe连接配置中，除了填写OAuth2信息，还要在「高级设置」里指定租户ID，确保请求携带正确的租户标识。

• Python客户端手动传递租户元数据：调用gRPC接口时，必须在请求元数据中添加tenant-id字段，示例代码：

  import grpc
  from zeebe_grpc import zb_grpc
  
  channel = grpc.insecure_channel("zeebe-gateway:26500")
  stub = zb_grpc.GatewayStub(channel)
  
  # 构造请求
  deploy_request = zb_grpc.DeployResourceRequest(...)
  # 添加租户元数据
  metadata = (('tenant-id', 'TENANT-NAME'),)
  response = stub.DeployResource(deploy_request, metadata=metadata)
  

• 检查Keycloak的协议映射器：在Keycloak中，为Identity对应的客户端添加租户映射器，确保将应用关联的租户ID注入到JWT令牌中。比如创建一个「用户属性」映射器，将tenant-id属性映射到JWT的tenant-id声明。

内容的提问来源于stack exchange，提问作者volgoweb