非管理员用户获取Keycloak RTP令牌时遭遇403权限拒绝问题

问题描述 #

我正在为处理受保护资源的API实现Keycloak授权功能，已为后端创建启用授权的confidential类型客户端，但目前只有管理员用户能正常走通流程，非管理员用户会收到403 Forbidden响应。

我的授权流程如下：

• 前端对应Keycloak的non-confidential客户端，通过标准授权码流程完成用户认证，获取常规OAuth access token；
• 用户携带该access token向后端请求资源；
• 后端使用用户的access token，以grant_type=urn:ietf:params:oauth:grant-type:uma-ticket向Keycloak端点请求RTP令牌；
• Keycloak返回包含用户所有权限的access token；
• 后端验证令牌有效性，解码并解析权限信息。

非管理员用户在请求RTP令牌步骤会收到如下错误：

{ "error": "access_denied", "error_description": "not_authorized" }

使用带有admin角色的access token请求RTP令牌则完全正常，求指点操作错误之处。

排查与解决方案 #

1. 检查后端confidential客户端的核心配置 #

• 确认客户端已开启Authorization Enabled，且Policy Enforcement Mode设为Enforcing（避免默认放行管理员的宽松模式）。
• 给该客户端的Service Account Roles分配Keycloak内置的uma_authorization角色，这个角色是客户端发起UMA ticket请求的必要权限。

2. 验证资源与权限策略的关联 #

• 后端通过API更新资源后，检查资源的Permissions配置：是否为非管理员用户设置了对应权限（如view、edit），且策略条件正确（比如基于用户角色、组的规则覆盖了非管理员群体）。
• 检查资源的Owner属性，若默认归管理员所有，需调整所有者或添加共享权限，允许非管理员访问。

3. 确认UMA请求参数的完整性 #

• 请求RTP令牌时必须指定audience参数，值为后端confidential客户端的client_id，否则Keycloak无法匹配对应的授权规则。
• 若需要精准权限，可添加permission参数指定具体资源权限，避免因未明确范围导致的权限检查失败。

4. 核对用户角色分配 #

• 确保非管理员用户已被分配资源权限策略要求的角色（如user角色），检查Realm Roles和Client Roles的关联情况，避免角色缺失导致权限校验不通过。

5. 检查授权策略的优先级 #

• 排查是否存在拒绝非管理员访问的高优先级策略，这类策略会覆盖允许访问的规则。调整策略优先级，确保允许非管理员访问的策略优先级更高。

内容的提问来源于stack exchange，提问作者Dominik Markart