如何在Keycloak策略执行器中允许来自不同Realm的Token？

核心结论：可以让R2生成的Token通过R1的授权策略验证，但必须完成跨Realm信任配置及Token验证逻辑调整

必要配置步骤 #

1. 建立R1对R2的跨Realm信任 #

• 在R1控制台添加「Keycloak身份提供者」，填入R2的服务器地址、Realm名称
• 开启「验证签名」选项，导入R2 Realm的公钥（可从R2的「Realm设置 → Keys」页面获取）
• 根据业务需求开启「导入用户」或「允许外部用户登录」，确保R1能识别R2的用户身份

2. 调整R1资源应用的Token验证规则 #

• 进入R1中promotion-engine-be应用的「高级设置」标签
• 确认开启「允许跨Realm Token」（部分Keycloak版本需手动开启该选项）
• 检查Token生命周期配置，避免因过期导致验证失败

3. 适配授权策略的声明匹配逻辑 #

• R2生成的Token声明会带有Realm标识，需调整R1的正则授权策略，确保声明路径匹配Token中的实际结构（例如声明前缀可能为realm_access.roles或自定义命名空间）
• 用jwt.io解析R2的Token，确认声明的键名和格式，再对应修改正则表达式

错误日志翻译 #

2024-07-09 08:57:31,150 WARN  [org.keycloak.events] (executor-thread-153) 类型=PERMISSION_TOKEN_ERROR, RealmID=46190167-c712-47bc-8d40-ae0980c08195, 客户端ID=promotion-engine-be, 用户ID=null, IP地址=172.17.0.1, 错误=无效令牌, 原因='HTTP 500内部服务器错误', 认证方法=oauth_credentials, 受众=promotion-engine-be, 授权类型=urn:ietf:params:oauth:grant-type:uma-ticket, 权限=e17acf24-9b14-48b8-bb3e-f6cb3ab0ffa8#GET, 客户端认证方法=client-secret

错误排查方向 #

• 500+invalid_token的组合，大概率是R1无法验证R2 Token的签名，或未识别Token中的用户身份
• 先解析R2的Token，确认声明是否符合预期，用户ID是否存在
• 查看Keycloak服务器的详细日志（非事件日志），获取500错误的堆栈信息，定位是签名验证失败还是声明解析异常

内容的提问来源于stack exchange，提问作者avisheks