Keycloak 25启用Token Exchange及API模拟用户遇400错误求助

一、找到并启用Token Exchange功能（Keycloak 25版本） #

Keycloak 25中Token Exchange的开关位置与旧版文档不同，操作步骤如下：

• 进入目标Realm的设置页面
• 切换到Features标签页
• 勾选Token Exchange选项并保存
• 同时需配置对应客户端：
  • 开启Service Accounts Enabled（服务账号启用）
  • 在客户端的Service Account Roles中，为服务账号添加impersonation权限

二、修复exchange_token调用报错问题 #

出现unsupported_grant_type错误，核心是配置或参数不符合要求，按以下步骤调整：

1. 确保客户端支持Token Exchange：
   进入客户端设置的Advanced标签页，在Allowed Grant Types中勾选Token Exchange选项
2. 正确构造调用参数：
   使用python-keycloak的exchange_token方法时，必须传入正确的授权类型及相关参数，示例代码如下：

   from keycloak import KeycloakOpenID
   
   keycloak_openid = KeycloakOpenID(server_url="http://你的Keycloak地址/auth/",
                                   client_id="你的客户端ID",
                                   realm_name="你的Realm名称",
                                   client_secret_key="你的客户端密钥")
   
   # 先获取具备模拟权限的账号访问令牌
   auth_token = keycloak_openid.token("有权限的用户名", "对应密码")
   
   # 调用Token Exchange模拟目标用户
   try:
       impersonated_token = keycloak_openid.exchange_token(
           grant_type="urn:ietf:params:oauth:grant-type:token-exchange",
           subject_token=auth_token['access_token'],
           subject_token_type="urn:ietf:params:oauth:token-type:access_token",
           requested_subject="要模拟的用户ID或用户名"
       )
       print(impersonated_token)
   except Exception as e:
       print(f"调用错误: {e}")
   

3. 权限验证：
   确认用于发起调用的账号（或客户端服务账号）已被授予目标Realm的impersonation权限

三、额外注意事项 #

• 若使用普通用户账号而非服务账号调用，需在该用户的Role Mappings中添加impersonate角色
• 若问题仍存在，可查看Keycloak服务器日志获取更详细的错误信息，进一步定位问题

内容的提问来源于stack exchange，提问作者EviSvil