如何让自定义Client通过Keycloak Admin API获取用户信息？

你的问题核心是未正确给自定义客户端分配Admin API所需的权限角色，以下是具体补全配置的步骤：

1. 确认客户端基础配置 #

确保myclient1的以下配置正确：

• Access Type 设置为 confidential
• Service Account Enabled 开启（设为On）

2. 分配Admin API权限角色 #

Keycloak的Admin API权限由内置的realm-management客户端提供，需将对应角色分配给myclient1的服务账户：

1. 进入myrealm1领域后台，找到Clients列表，选择内置的realm-management客户端
2. 切换到Roles标签页，这里列出了所有Admin API相关的权限角色（比如view-users、manage-users等，按需选择）
3. 回到myclient1客户端，切换到Service Account Roles标签页
4. 在Client Roles下拉框中选择realm-management，将需要的角色（比如view-users）添加到右侧的Assigned Roles中

3. 验证请求流程 #

1. 重新获取client credentials模式的token（注意修正请求URL里的领域名为myrealm1）：

curl --location --request POST 'http://localhost:8080/realms/myrealm1/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'client_id=myclient1' \
--data-urlencode 'client_secret=PehR9f95woZmEEHcKfSgPaosu1Yt6P9s' \
--data-urlencode 'grant_type=client_credentials'

2. 调用Admin API时，在请求头中携带token：

curl --location --request GET 'http://localhost:8080/admin/realms/myrealm1/users' \
--header 'Authorization: Bearer <你的access_token>'

关键说明 #

你之前配置的普通admin领域角色和客户端作用域，并非Admin API所需权限。Admin API的权限必须从内置的realm-management客户端分配，因为该客户端承载了所有管理接口的权限定义。

内容的提问来源于stack exchange，提问作者hyperion