Keycloak+RabbitMQ授权异常：用户访问vhost '/'被拒绝

已通过Keycloak完成RabbitMQ的OAuth2认证，但访问默认vhost /时被拒绝，报错：

(530) "NOT_ALLOWED - access to vhost '/' refused for user '05c4b0ae-9c07-4ab6-b3a1-c1e9e5e36759'"

调试日志显示未匹配到对应vhost的权限，解码后的JWT已包含正确的权限scope：

"scope": "email rabbitmq.read:*/* rabbitmq.configure:*/* rabbitmq.write:*/* profile"

当前使用的RabbitMQ配置：

auth_backends.1 = rabbit_auth_backend_oauth2

log.default.level = debug

auth_oauth2.resource_server_id = rabbit_prod
auth_oauth2.preferred_username_claims.1 = user_name
auth_oauth2.additional_scopes_key = scope
auth_oauth2.issuer = https://omitted/realms/prod

以下是几个关键的遗漏配置点，按顺序排查：

1. 开启Scope转权限的功能
   RabbitMQ默认不会把JWT里的scope解析为资源权限，必须添加配置开启这个功能：

   auth_oauth2.use_scope_as_permissions = true
   

2. 指定OAuth2授权后端
   部分RabbitMQ版本需要单独配置授权后端，确保授权逻辑也走OAuth2规则，添加：

   authz_backends.1 = rabbit_authz_backend_oauth2
   

3. 确认Scope格式合规
   检查JWT中的scope是否严格遵循rabbitmq.<权限类型>:<vhost>/<资源>格式：

   • 权限类型支持read/write/configure三种
   • */*代表所有vhost下的所有资源，针对默认vhost/，也可以写为rabbitmq.read://*，效果一致

4. 验证Keycloak端的Scope配置
   登录Keycloak后台，确认客户端的可用scope列表里已添加rabbitmq.read:*/*等权限项，并且颁发JWT时确实会包含这些scope（已解码确认的话可跳过这步）

5. 重启RabbitMQ
   修改配置后必须重启服务，确保新配置生效

重启后重新运行Pika客户端，同时查看RabbitMQ的调试日志，如果看到Processing scope as permission相关的日志条目，说明Scope已被正确解析为权限。

内容的提问来源于stack exchange，提问作者Thanos Apostolidis