如何在.NET中为Keycloak单Realm配置多客户端并实现资源授权？

核心误解澄清 #

你不需要在.NET配置中添加多个Keycloak客户端。你的.NET API本身只需要作为**一个Keycloak客户端（即backend-client）**存在，Keycloak中的其他客户端（比如client-x、client-y）是作为认证发起方（如前端应用、第三方服务），它们向Keycloak获取令牌后调用你的API。你的API只需验证令牌的有效性、受众、以及令牌携带的权限/客户端身份即可。

当前配置的问题 #

1. 授权策略未区分客户端来源：现有策略只校验Realm角色和保护资源，没有限制请求来自哪个客户端，无法实现不同客户端的权限隔离。
2. 冗余配置：AddKeycloakAuthZ中调用的.AddAuthorizationServer(configuration)是多余的，除非你的.NET服务同时要作为OAuth2授权服务器，否则应移除。

具体实现步骤 #

1. 配置Keycloak中的多客户端 #

在sample-realm中创建所需的客户端（如client-x、client-y）：

• 对每个客户端，在客户端设置→高级→受众中添加backend-client，确保这些客户端获取的令牌中包含backend-client作为aud（受众）字段值，这样你的API能通过verify-token-audience的校验。
• 根据需求为每个客户端配置专属的客户端角色或使用Keycloak授权服务设置资源权限策略。

2. 修改.NET授权策略，基于客户端ID控制权限 #

利用令牌中的azp（授权方，即发起认证的客户端ID）字段，在授权策略中添加客户端校验逻辑：

public static IServiceCollection AddKeycloakAuthZ(this IServiceCollection services, IConfiguration configuration)
{
    services.AddAuthorization(configurations =>
    {
        configurations.FallbackPolicy = BuildDefaultPolicy();

        configurations.AddPolicy(AuthorizationPolicyConstants.Administrator, policyBuilder =>
        {
            policyBuilder.RequireRealmRoles(AuthorizationRoleConstants.Administrator);
        });

        // 仅允许client-x访问Balances资源
        configurations.AddPolicy(AuthorizationPolicyConstants.Balances, policyBuilder =>
        {
            policyBuilder.RequireRealmRoles(AuthorizationRoleConstants.Participant);
            policyBuilder.RequireClaim("azp", "client-x"); // 限制客户端ID
            policyBuilder.RequireProtectedResource(AuthorizationResourceConstants.Balances.Item1, AuthorizationResourceConstants.Balances.Item2);
        });

        // 允许admin角色或client-y访问MonetaryActivities资源
        configurations.AddPolicy(AuthorizationPolicyConstants.MonetaryActivities, policyBuilder =>
        {
            policyBuilder.RequireAuthenticatedUser();
            policyBuilder.RequireAssertion(context => 
                context.User.HasClaim(c => c.Type == "azp" && c.Value == "client-y") 
                || context.User.IsInRole(AuthorizationRoleConstants.Administrator)
            );
            policyBuilder.RequireProtectedResource(AuthorizationResourceConstants.MonetaryActivities.Item1, AuthorizationResourceConstants.MonetaryActivities.Item2);
        });

    })
    .AddKeycloakAuthorization(configuration); // 移除多余的AddAuthorizationServer调用

    return services;
}

3. 可选：使用Keycloak授权服务实现细粒度控制 #

如果需要更复杂的权限规则（如客户端+角色+资源的组合），可以启用Keycloak授权服务：

• 在backend-client中开启授权功能，创建资源、权限和策略，其中策略可指定允许访问的客户端。
• 确保.NET的AddKeycloakAuthorization配置正确，RequireProtectedResource会自动根据Keycloak的授权策略验证权限。

内容的提问来源于stack exchange，提问作者Gabriel Ribeiro