使用KeycloakAdminClientService创建用户时遇403 Forbidden错误

以下是针对该问题的排查与解决步骤：

• 检查令牌的权限范围
  即便能成功获取令牌，也要确认请求令牌时是否携带了realm-management相关的scope。保密客户端使用客户端凭证模式时，需在令牌请求参数中指定scope=realm-management（或具体的create-user scope），否则即便客户端已分配对应角色，令牌也不会携带权限信息。

• 验证客户端角色分配的正确性
  确保给保密客户端分配的是Realm级别下realm-management内置的create-user角色：

  1. 登录Keycloak控制台，进入目标Realm
  2. 点击「Clients」→ 选中你的保密客户端 → 切换到「Roles」标签页
  3. 点击「Add Role」，在「Client Roles」下拉框选择realm-management，选中create-user添加至客户端角色列表
     注意：必须使用realm-management内置角色，不能是自行创建的同名角色。

• 解码令牌确认权限内容
  将获取到的JWT令牌解码（用本地工具即可），查看角色信息：

  • 客户端凭证模式下，权限角色会出现在resource_access字段对应客户端的roles数组中，确认是否包含create-user
  • 若使用其他模式（如密码模式），则查看realm_access下的roles数组

• 检查Keycloak客户端初始化配置
  确认kcProvider初始化Keycloak客户端时使用了正确的客户端凭证模式，示例代码如下：

  Keycloak keycloak = KeycloakBuilder.builder()
      .serverUrl("http://你的Keycloak地址/auth")
      .realm("目标Realm名称")
      .clientId("保密客户端ID")
      .clientSecret("保密客户端秘钥")
      .grantType(OAuth2Constants.CLIENT_CREDENTIALS)
      .build();
  

  若初始化时grant类型错误、客户端ID/秘钥不匹配，即便能获取令牌，权限也会不匹配。

• 排查Realm授权开关状态
  若目标Realm开启了「Authorization Enabled」，除角色分配外，还需在「Authorization」设置中给客户端添加允许创建用户的权限策略。默认该开关为关闭状态，若未手动开启可跳过此步骤。

你的用户创建代码逻辑本身无问题，核心问题集中在权限配置环节。

内容的提问来源于stack exchange，提问作者Ashok