Keycloak仅允许用户重置自身密码的角色配置问题

问题核心 #

你用的是Keycloak Admin API里的重置密码邮件接口，这个接口本来就是给管理员设计的，必须带manage-users或realm-admin这类全局管理角色，权限范围确实会覆盖其他用户，不符合你要的“用户仅操作自己账户”的需求。而给用户全account角色后仍403，是因为你找错了API。

正确的解决方案 #

Keycloak 21.0.1里，普通用户自助触发重置密码邮件，应该用Account REST API的接口，而不是Admin API：

• 正确接口地址：PUT <keycloak>/realms/<realm>/account/reset-password
• 权限要求：用户的access token只需包含account客户端的manage-account角色（默认创建用户时会自动关联基础的account角色，若没有可手动配置）
• 调用方式：用authorization_code模式获取当前用户的access token，请求头带上Authorization: Bearer {你的access_token}，不需要额外的client_id、redirect_uri或userId参数（接口自动识别token对应的用户）

为什么之前的方法不行 #

• Admin API的/admin/realms/{realm}/users/{userId}/reset-password-email属于管理员操作接口，设计目的就是让管理员给任意用户发重置邮件，所以必须有全局管理权限，普通用户拿不到这个权限很正常。
• account角色是给用户操作自己账户用的，只能在Account API范围内生效，对Admin API无效，所以给全account角色也会403。

内容的提问来源于stack exchange，提问作者Nick