Spring Boot集成Keycloak创建用户遇403错误求助

新版UI为客户端添加manage-users角色步骤 #

• 登录Keycloak管理控制台，进入你的目标Realm
• 左侧点击「Clients」，找到Spring Boot应用对应的客户端，进入详情页
• 切换到「Service Accounts Roles」标签页
• 在「Client Roles」下拉框中选择「realm-management」
• 在下方「Available Roles」列表里找到「manage-users」角色，点击「Add selected」将其添加到「Assigned Roles」中
• 保存配置后重启Spring Boot应用，确保权限生效

Keycloak配置与服务代码检查及调整 #

正确的KeycloakConfig示例 #

import org.keycloak.admin.client.Keycloak;
import org.keycloak.admin.client.KeycloakBuilder;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class KeycloakConfig {

    @Value("${keycloak.auth-server-url}")
    private String authServerUrl;

    @Value("${keycloak.realm}")
    private String realm;

    @Value("${keycloak.resource}")
    private String clientId;

    @Value("${keycloak.credentials.secret}")
    private String clientSecret;

    @Bean
    public Keycloak keycloak() {
        return KeycloakBuilder.builder()
                .serverUrl(authServerUrl)
                .realm(realm)
                .clientId(clientId)
                .clientSecret(clientSecret)
                .grantType("client_credentials")
                .build();
    }
}

正确的KeycloakService创建用户示例 #

import org.keycloak.admin.client.Keycloak;
import org.keycloak.representations.idm.CredentialRepresentation;
import org.keycloak.representations.idm.UserRepresentation;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.stereotype.Service;

import javax.ws.rs.core.Response;
import java.util.Collections;

@Service
public class KeycloakService {

    private final Keycloak keycloak;
    private final String realm;

    public KeycloakService(Keycloak keycloak, @Value("${keycloak.realm}") String realm) {
        this.keycloak = keycloak;
        this.realm = realm;
    }

    public Response createUser(String username, String email, String password) {
        UserRepresentation user = new UserRepresentation();
        user.setUsername(username);
        user.setEmail(email);
        user.setEnabled(true);
        user.setEmailVerified(true);

        CredentialRepresentation credential = new CredentialRepresentation();
        credential.setType(CredentialRepresentation.PASSWORD);
        credential.setValue(password);
        credential.setTemporary(false);

        user.setCredentials(Collections.singletonList(credential));

        return keycloak.realm(realm).users().create(user);
    }
}

关键注意点 #

• 配置中的grantType必须设为client_credentials，管理用户操作需要用服务账户模式，和用户登录的password模式区分开
• 确保application配置文件参数正确：

keycloak.auth-server-url=http://localhost:8080/auth
keycloak.realm=你的Realm名称
keycloak.resource=你的客户端ID
keycloak.credentials.secret=你的客户端密钥

• 客户端的「Access Type」要设置为「confidential」，否则无法使用客户端密钥获取权限
• 若仍出现403，检查Realm设置里的令牌有效期，或者重新生成客户端密钥后重试

内容的提问来源于stack exchange，提问作者dvbngln