能否在Keycloak中实现Businesscentral的组权限控制？

首先明确：无法完全在Keycloak内单独复刻Business Central（BC）的细粒度空间/项目权限，因为BC的这类权限属于自身业务权限体系（存储在BC数据库中），Keycloak的核心职责是身份认证与粗粒度角色/组的管理。但可以通过「Keycloak角色/组 → BC内置角色 → BC空间/项目权限」的映射链路，实现类似“在Keycloak管理组，同步获得对应BC权限”的效果，具体实现步骤如下：

• Step 1：对齐Keycloak与BC的角色体系
  在Keycloak中创建与BC权限对应的组或角色，比如针对BC的空间管理员、项目编辑者、项目查看者，分别创建bc-space-admin、bc-project-editor、bc-project-viewer这类标识明确的组/角色。

• Step 2：配置Wildfly适配器的角色映射
  虽然Wildfly Keycloak适配器已废弃，但7.73版本的BC仍支持该配置。在Wildfly的standalone.xml中，通过security-domain的role-mapper配置，将Keycloak传入的组/角色映射为BC认可的内置角色（如admin、developer、viewer）或自定义BC角色。例如：

  <security-domain name="keycloak" cache-type="default">
    <authentication>
      <login-module code="org.keycloak.adapters.jboss.KeycloakLoginModule" flag="required"/>
    </authentication>
    <mapping>
      <role-mapper code="org.keycloak.adapters.jboss.RoleMapping">
        <module-option name="rolesProperties" value="${jboss.home.dir}/standalone/configuration/role-mappings.properties"/>
      </role-mapper>
    </mapping>
  </security-domain>
  

  在role-mappings.properties中添加映射规则，比如：bc-space-admin=admin。

• Step 3：在BC中绑定角色与空间/项目权限
  登录BC后，进入目标空间/项目的权限设置页面，将映射后的BC角色（如admin）分配对应的空间/项目权限（比如空间管理员权限、项目编辑权限）。此后，Keycloak中属于bc-space-admin组的用户登录BC后，会自动继承该角色对应的空间/项目权限。

• 进阶：自动化同步Keycloak组与BC权限
  如果希望在Keycloak中创建组时自动同步BC的空间/项目权限，可以借助BC的REST API实现自动化。比如监听Keycloak的组创建事件，触发调用BC的权限分配API，将新组对应的角色绑定到指定空间/项目的权限上。

注意事项 #

• 不要混淆身份管理（Keycloak）与业务权限（BC）的边界：Keycloak负责“谁能登录”，BC负责“登录后能操作什么”，两者配合才能实现完整的权限管控。
• 若后续版本升级，建议替换为Quarkus Keycloak适配器，但7.73版本使用Wildfly适配器无需调整，确保角色映射配置正确即可。
• 测试时创建测试用户加入Keycloak对应组，登录BC验证空间/项目的访问权限是否符合预期。

内容的提问来源于stack exchange，提问作者Birukage