调用Keycloak Admin API获Token后仍返回401 Unauthorized求助

下面是具体的排查和解决步骤：

1. 确认令牌是否包含足够权限 #

把你拿到的access_token放到jwt.io上解析，查看realm_access字段里的roles列表，必须要有realm-admin角色。如果没有，在获取令牌的POST请求里，给x-www-form-urlencoded的请求体加个参数：
scope=openid realm-admin
这样请求的权限才够调用管理API。

2. 检查Authorization请求头的格式 #

别小看这个细节，很多时候是格式错了：

• 请求头的键必须是Authorization
• 值必须是Bearer 你的access_token，重点是**Bearer和令牌之间必须有一个空格**，少了空格直接就会返回401。

3. 验证admin用户的角色配置 #

登录Keycloak后台，进入master域的用户列表找到admin用户：

• 点击「角色映射」标签，确认「域角色」里已经分配了realm-admin角色。如果之前被误删了，手动加上之后重新获取token再试。

4. 核对令牌的受众（aud字段） #

解析token时查看aud字段，里面需要包含admin-api或者realm-management（不同Keycloak版本要求可能有差异）。如果受众不匹配，可能需要调整获取token时的client配置或者scope参数。

5. 检查Keycloak版本的兼容性 #

如果用的是20以上的新版本，权限控制更严格：

• 确认admin-cli客户端的「访问类型」是public（默认配置就是这个），如果改成了其他类型可能会影响password grant的令牌权限。另外检查「服务账户启用」有没有被错误关闭，默认admin-cli不需要开启这个，但如果被修改过就调回默认设置。

内容的提问来源于stack exchange，提问作者Dominic Meyer