误从Keycloak的admin角色移除create-realm权限，如何重新分配？

你这种情况不算损坏Keycloak，只是管理员权限配置出现异常，以下是几种可靠的恢复方式：

数据库直接修改（最直接的方案） #

这种方式适用于所有Keycloak版本，前提是你能访问Keycloak使用的数据库：

• 连接到Keycloak对应的数据库（如PostgreSQL、MySQL）
• 执行以下步骤：
  1. 查询主Realm（默认是master）的ID：

     SELECT id FROM realm WHERE name = 'master';
     

     记此ID为MASTER_REALM_ID
  2. 查询create-realm角色的ID：

     SELECT id FROM role WHERE realm_id = 'MASTER_REALM_ID' AND name = 'create-realm';
     

     记此ID为CREATE_REALM_ROLE_ID
  3. 查询你的管理员用户ID（假设用户名是admin）：

     SELECT id FROM user WHERE username = 'admin' AND realm_id = 'MASTER_REALM_ID';
     

     记此ID为ADMIN_USER_ID
  4. 插入权限映射记录：

     INSERT INTO user_role_mapping (user_id, role_id, realm_id)
     VALUES ('ADMIN_USER_ID', 'CREATE_REALM_ROLE_ID', 'MASTER_REALM_ID');
     

  5. 重启Keycloak服务，管理员即可恢复create-realm权限

Keycloak CLI方式（无数据库访问时可用） #

针对Keycloak 17+ quarkus版本：

• 停止Keycloak服务
• 先通过CLI登录到master Realm：

  ./kc.sh adm config credentials --server http://localhost:8080 --realm master --user admin --password 你的管理员密码
  

• 给管理员用户添加create-realm角色：

  ./kc.sh adm users add-roles --username admin --realm master --roles create-realm
  

• 重启Keycloak服务即可

如果是传统WildFly版本（Keycloak 16及以下），使用jboss-cli.sh连接到服务器后执行对应命令，核心逻辑是给用户添加目标角色。

临时关闭细粒度权限（快速恢复UI操作权限） #

如果需要通过UI恢复权限，可以临时关闭Keycloak的细粒度管理员权限控制：

• 针对Keycloak 17+ quarkus版本：
  编辑keycloak.conf，添加配置：

  keycloak.profile.feature.admin_fine_grained_authz=disabled
  

• 针对传统WildFly版本：
  编辑standalone.xml，在keycloak-server子系统中添加：

  <spi name="userProfile">
    <provider name="legacy" enabled="true"/>
  </spi>
  

• 启动Keycloak，此时管理员会恢复所有默认权限，你可以在UI中重新分配create-realm角色
• 权限恢复后，务必删除上述配置，重启Keycloak回到正常权限模式

内容的提问来源于stack exchange，提问作者schrom