Keycloak是否支持Web界面获取ID Token用于Kubernetes 1.13 OIDC认证？

绝对没问题，Keycloak本身就支持你想要的交互式Authorization Code授权模式来获取临时ID Token，完全匹配Kubernetes文档里提到的「用户登录身份提供商获取Token并配置kubectl」的流程，而且完美规避了Password模式直接处理用户凭证的风险。下面给你详细讲几种实现方式：

一、Keycloak自带的交互式页面方案 #

Keycloak原生就提供了两种不用写代码的交互式Token获取方式：

1. 账户控制台直接查看Token #

登录Keycloak的Account Console（一般是https://<你的Keycloak域名>/auth/realms/<你的领域>/account），进入后找到「Security」或者「Tokens」相关的板块（不同版本界面略有差异），这里可以直接查看并复制当前用户的ID Token、Access Token等临时凭证。

• 优点：零配置，直接能用
• 注意：这里的Token是关联用户本身的，如果你需要针对特定Kubernetes客户端的权限控制，建议先创建专门的K8s客户端再操作。

2. 手动触发Authorization Code Flow的交互式授权页面 #

如果你需要更贴合OIDC标准流程的方式（比如针对指定客户端获取Token），可以手动构造授权请求URL，借助Keycloak自带的登录页面完成认证：

1. 先在Keycloak后台创建一个Public类型的客户端（因为是手动操作，不需要客户端密钥），重定向URI可以设置为urn:ietf:wg:oauth:2.0:oob（即「带外模式」，会直接在页面显示授权码）。
2. 在浏览器打开构造好的授权URL：

   https://<你的Keycloak域名>/auth/realms/<你的领域>/protocol/openid-connect/auth?client_id=<你的客户端ID>&response_type=code&scope=openid&redirect_uri=urn:ietf:wg:oauth:2.0:oob
   

3. 输入用户名密码完成登录后，页面会直接显示授权码（code）。
4. 用这个授权码调用Token端点获取ID Token：

   curl -X POST https://<你的Keycloak域名>/auth/realms/<你的领域>/protocol/openid-connect/token \
     -H "Content-Type: application/x-www-form-urlencoded" \
     -d "client_id=<你的客户端ID>" \
     -d "grant_type=authorization_code" \
     -d "code=<你拿到的授权码>" \
     -d "redirect_uri=urn:ietf:wg:oauth:2.0:oob"
   

   返回的JSON结果里的id_token就是你需要的临时凭证，直接复制到kubeconfig即可。

二、更便捷的第三方工具推荐 #

如果觉得手动构造请求太麻烦，有几个专门适配Kubernetes+OIDC的工具可以帮你简化流程：

kubelogin #

这是目前最流行的Kubernetes OIDC认证工具，完全支持和Keycloak的集成：

• 它会自动打开浏览器跳转到Keycloak的登录页面，完成认证后自动获取Token并更新kubeconfig，全程不用手动复制粘贴，新手友好度拉满。
• 使用起来也很简单，安装后只需要在kubeconfig里配置好OIDC相关参数，运行kubelogin就能完成认证流程。

Keycloak CLI（kcadm.sh） #

虽然主要是Keycloak的管理工具，但也可以用来获取Token，适合习惯命令行操作的用户：

kcadm.sh get token --server https://<你的Keycloak域名>/auth --realm <你的领域> --user <用户名> --password <密码>

不过这个方式本质还是基于用户凭证，不如Authorization Flow安全，优先推荐前面的交互式方案。

三、关于Kubernetes文档流程的确认 #

Kubernetes文档里提到的「用户登录身份提供商获取Token并配置kubectl」的流程，Keycloak完全支持。因为Keycloak是标准的OpenID Connect身份提供商，Authorization Code Flow是OIDC的核心标准流程之一，完全符合Kubernetes API Server的OIDC认证要求。

总结下来，你完全不用额外开发页面，用Keycloak自带的功能或者kubelogin这类工具就能实现安全的交互式Token获取，完美替代Password模式的风险。

内容的提问来源于stack exchange，提问作者rookie099