如何通过Curl API创建带view_users角色的Keycloak客户端

Keycloak的客户端创建接口不支持在创建时直接分配角色，得分成4步来实现需求：

1. 创建目标客户端（test） #

先执行创建请求，注意修正请求体里的多余转义符（把\"改成"）。执行成功后会返回客户端的JSON数据，需要记下两个关键值：id（客户端ID）和serviceAccountUser.id（该客户端服务账户的用户ID）。

curl --location --request POST "http://$ip:8180/auth/admin/realms/$realm/clients" \
    --header 'Content-Type: application/json' \
    -H "Authorization: bearer $TOKEN" \
    --data-raw '{
        "clientId": "test",
        "enabled": true,
        "consentRequired": false,
        "protocol": "openid-connect",
        "standardFlowEnabled": true,
        "implicitFlowEnabled": false,
        "directAccessGrantsEnabled": false,
        "serviceAccountsEnabled": true,
        "authorizationServicesEnabled": true,
        "rootUrl": "http://localhost:8180/test"
    }'

2. 获取realm-management客户端的ID #

执行以下请求，过滤出clientId为realm-management的客户端，记下返回结果里的id字段：

curl --location --request GET "http://$ip:8180/auth/admin/realms/$realm/clients?clientId=realm-management" \
    -H "Authorization: bearer $TOKEN"

3. 获取view_users角色的ID #

把上一步拿到的realm-management客户端ID替换到$REALM_MGMT_CLIENT_ID，执行后在返回的角色列表里找到name为view_users的角色，记下它的id：

curl --location --request GET "http://$ip:8180/auth/admin/realms/$realm/clients/$REALM_MGMT_CLIENT_ID/roles" \
    -H "Authorization: bearer $TOKEN"

4. 给test客户端的服务账户分配view_users角色 #

把之前记下的三个变量：$TEST_SERVICE_ACCOUNT_USER_ID（test客户端服务账户的用户ID）、$REALM_MGMT_CLIENT_ID、$VIEW_USERS_ROLE_ID替换进去，执行这个POST请求完成角色分配：

curl --location --request POST "http://$ip:8180/auth/admin/realms/$realm/users/$TEST_SERVICE_ACCOUNT_USER_ID/role-mappings/clients/$REALM_MGMT_CLIENT_ID" \
    --header 'Content-Type: application/json' \
    -H "Authorization: bearer $TOKEN" \
    --data-raw '[
        {
            "id": "$VIEW_USERS_ROLE_ID",
            "name": "view_users",
            "clientRole": true,
            "containerId": "$REALM_MGMT_CLIENT_ID"
        }
    ]'

额外提示 #

• 确保你的$TOKEN拥有足够权限，至少需要realm-management里的manage-clients和manage-users角色
• 如果要自动化流程，可以用jq工具解析返回的JSON数据，自动提取所需ID，比如创建客户端后用| jq '.id'和| jq '.serviceAccountUser.id'直接获取对应值

内容的提问来源于stack exchange，提问作者TolleCram