Keycloak获取指定角色用户遇403问题：权限配置排查求助

你遇到的403 Forbidden问题，核心原因大概率是接口路径误用、权限分配对象错误或令牌权限范围不足，以下是具体调整方案：

1. 修正接口调用路径 #

你要查询的是领域级角色的用户列表，但当前调用的是客户端角色专属接口（路径包含clients/{clientId}/roles）。正确的领域级角色用户查询接口应为：

GET admin/realms/{realm}/roles/{role_name}/users

如果坚持使用客户端角色接口，需确认dealer是对应客户端（8cf0e750-6807-46e9-a9b3-a33b1340b175）下的客户端角色，而非领域角色。

2. 调整权限分配对象 #

你提到启用了客户端服务账号并分配了权限，但需根据认证身份对应调整：

• 若以拥有staff角色的普通用户身份认证调用接口：需给该用户（或staff领域角色）直接分配realm-management客户端的权限。操作步骤：进入Keycloak控制台→目标领域→realm-management客户端→「Users」标签→找到staff用户→「Role Mappings」→在「Client Roles」下拉选realm-management，将view-users和manage-users添加到「Assigned Roles」。
• 若使用客户端服务账号调用接口：需确保获取令牌时指定scope=realm-management，保证令牌包含该权限范围；同时确认服务账号已正确分配realm-management的view-users和manage-users角色。

3. 验证令牌权限内容 #

调用接口前，解码access token（通过JWT解码工具即可），检查两个关键声明：

• resource_access.realm-management.roles中是否存在view-users和manage-users
• 令牌是否包含realm-management的权限scope

4. 确认角色层级匹配 #

再次核实dealer角色的层级：

• 领域级角色：在领域的「Roles」标签下创建
• 客户端级角色：在对应客户端的「Roles」标签下创建
  角色层级与接口路径必须匹配，否则会触发权限验证失败。

内容的提问来源于stack exchange，提问作者shAkur