如何通过kcadm.sh为Keycloak客户端分配专属Scope

针对你需要给客户端B分配客户端A专属Scope、避免全权限过大的需求，以下是用kcadm.sh完成操作的具体步骤，同时解释你观察到的API请求逻辑：

前置准备 #

确保你已通过kcadm.sh完成Keycloak的身份验证：

kcadm.sh config credentials --server http://<你的Keycloak地址>/auth --realm master --user <管理员账号> --password <管理员密码>

步骤1：关闭客户端B的Full Scope Allowed #

首先要禁用客户端B的全权限访问，避免自动获取所有Scope：

1. （若未提前获取）查询客户端B的UUID：

   kcadm.sh get clients --realm master -q clientId=<clientB的clientId>
   

2. 更新客户端配置关闭全权限：

   kcadm.sh update clients/<clientB的UUID> --realm master -s "fullScopeAllowed=false"
   

步骤2：将客户端A的专属Scope分配给客户端B #

客户端的专属Scope本质是该客户端自身定义的角色，因此需要把客户端A的角色添加到客户端B的客户端范围映射中：

1. （可选）先确认客户端A的角色列表：

   kcadm.sh get clients/<clientA的UUID>/roles --realm master
   

2. 分配指定角色到客户端B的范围映射：

   # 分配单个角色
   kcadm.sh create clients/<clientB的UUID>/scope-mappings/clients/<clientA的UUID> --realm master -s '[{"name":"<要分配的角色名>"}]'
   
   # 批量分配多个角色
   kcadm.sh create clients/<clientB的UUID>/scope-mappings/clients/<clientA的UUID> --realm master -s '[{"name":"role1"},{"name":"role2"}]'
   

验证操作结果 #

查询客户端B的范围映射，确认客户端A的角色已成功添加：

kcadm.sh get clients/<clientB的UUID>/scope-mappings/clients/<clientA的UUID> --realm master

关于你观察到的API请求逻辑解释 #

• 第一个POST请求/admin/realms/master/clients/<clientB的UUID>/scope-mappings/realm：这是在清除客户端B的Realm级别范围映射（若之前存在），为空数组表示移除所有Realm角色的映射。
• 第二个POST请求/admin/realms/master/clients/<clientB的UUID>/scope-mappings/clients/<clientA的UUID>：路径中的<clientA的UUID>是提供专属Scope的客户端（客户端A）的ID，这个请求的作用就是将客户端A的角色（即其专属Scope）添加到客户端B的允许访问范围，和我们用kcadm.sh执行的操作完全对应。

内容的提问来源于stack exchange，提问作者Samuel