Keycloak Terraform：keycloak_authentication_execution_config配置参数失效问题

核心问题分析 #

你的问题主要出在三个方面：

1. 配置参数键名错误：conditional-user-role认证器的配置键应为role而非roles
2. 角色格式不符合Keycloak要求：角色需按[客户端ID]:[角色名]格式填写，Realm角色的客户端ID固定为realm
3. 代码拼写错误：存在变量名不一致的问题，导致配置无法正确关联目标Realm

修正后的完整代码 #

# 先确保目标Realm角色存在（如果是客户端角色，替换为keycloak_client_role资源）
resource "keycloak_role" "user_realm_role" {
  realm_id = var.MY_REALM_ID
  name     = "user"
}

# 子流配置
resource "keycloak_authentication_subflow" "sub_otp_flow" {
  realm_id          = var.MY_REALM_ID
  alias             = "sub-otp-flow"
  parent_flow_alias = keycloak_authentication_flow.email_otp_flow.alias
  provider_id       = "basic-flow"
  requirement       = "REQUIRED"
}

# 角色条件执行器（修正变量名拼写错误）
resource "keycloak_authentication_execution" "role_condition_otp" {
  realm_id          = var.MY_REALM_ID
  parent_flow_alias = keycloak_authentication_subflow.sub_otp_flow.alias
  authenticator     = "conditional-user-role"
  requirement       = "REQUIRED"
}

# 角色条件配置（关键修正：键名和格式）
resource "keycloak_authentication_execution_config" "role_condition_otp_config" {
  realm_id     = var.MY_REALM_ID
  execution_id = keycloak_authentication_execution.role_condition_otp.id
  alias        = "role_condition_otp"
  config = {
    # Realm角色格式：realm:[角色名]
    role = "realm:${keycloak_role.user_realm_role.name}"
    
    # 若为客户端角色，格式为[客户端ID]:[角色名]，示例：
    # role = "${keycloak_client.my_client.id}:user"
  }
}

# 邮件OTP执行器（修正变量名不一致问题）
resource "keycloak_authentication_execution" "email_otp" {
  realm_id          = var.MY_REALM_ID
  parent_flow_alias = keycloak_authentication_subflow.sub_otp_flow.alias
  authenticator     = "ext-email-otp"
  requirement       = "REQUIRED"

  depends_on = [
    keycloak_authentication_execution.username_password,
    keycloak_authentication_execution_config.role_condition_otp_config
  ]
}

关键说明 #

• 角色格式规则：
  • Realm角色：必须使用realm:角色名格式，比如realm:user
  • 客户端角色：使用客户端ID:角色名格式，比如my-app-client:user
• 配置键名：conditional-user-role认证器仅识别role作为配置键，roles是错误写法
• 资源引用优势：通过Terraform资源引用角色（如keycloak_role.user_realm_role.name），避免硬编码，确保配置与实际角色状态同步

内容的提问来源于stack exchange，提问作者Jasper Hansen