如何为Keycloak指定realm下的用户设置密码？执行命令后密码未生效

常见失败原因 #

你执行的两条命令语法本身没有硬伤，不生效基本是以下几个问题：

• 未提前执行kcadm认证：kcadm所有写操作都需要有效管理员token，未登录时部分Keycloak版本不会抛出明确错误，会静默返回成功但实际不修改数据。
• 参数匹配错误：realm名称大小写和实际不一致、$user_id传了用户名而非用户主键ID、--username指定的用户在目标realm不存在时，命令会默认去master realm查找匹配用户，改不到目标对象。
• 版本兼容问题：Keycloak 17+（Quarkus架构版本）的set-password子命令如果不显式指定temporary参数，部分版本会默认标记密码为临时，且不会触发密码哈希持久化逻辑，导致设置失效。

正确操作流程 #

1. 先完成管理员身份认证，必须在所有改密操作前执行：

   # 替换为实际的Keycloak服务地址、管理员账号密码
   kcadm.sh config credentials --server http://<你的keycloak服务地址>:8080 --realm master --user <管理员账号> --password <管理员密码>
   

   如果目标realm有独立的realm级管理员，把--realm master替换为目标realm名即可。

2. 选择以下任意一种方式设置密码即可：

   • 方式一（通用所有版本，推荐）：

     # 先获取目标用户的真实主键ID，避免ID传错
     TARGET_USER_ID=$(kcadm.sh get users -r My-Realm -q username=user1 --fields id | jq -r '.[0].id')
     # 执行密码重置
     kcadm.sh update users/${TARGET_USER_ID}/reset-password -r My-Realm -s type=password -s value=NEWPWD -s temporary=false -n
     

   • 方式二（17+版本适用）：

     kcadm.sh set-password -r My-Realm --username user1 --new-password NEWPASSWORD --temporary=false
     

有效性验证 #

执行完改密命令后，不用先登控制台，直接执行以下命令校验：

kcadm.sh get users/${TARGET_USER_ID} -r My-Realm --fields requiredActions

如果返回结果中不存在UPDATE_PASSWORD项，说明密码已设置为永久有效，可直接用新密码登录。

注意：不要直接调用/auth/admin/realms/$realm/users接口修改用户实体的password字段，该字段为只读属性，写入不会生效，必须走reset-password专用接口。

内容的提问来源于stack exchange，提问作者Saturnian