对接外部OIDC提供商时Keycloak-Gatekeeper未填充角色/组问题

从你的日志和JWT内容来看，问题根源很明确：Keycloak-Gatekeeper默认的角色读取路径和FusionAuth返回的JWT结构不匹配，导致它无法解析出用户的角色信息，最终触发403权限拒绝。

核心原因 #

Keycloak-Gatekeeper是为Keycloak原生设计的，默认会从JWT的realm_access.roles（Keycloak标准字段）或groups字段读取角色数据，但你的FusionAuth把角色直接放在了JWT顶层的roles数组里，所以Gatekeeper找不到这些值，日志里才会显示"roles": "", "groups": ""。

解决步骤 #

你只需要在Gatekeeper的配置里指定正确的角色字段路径即可：

1. 修改启动配置

• 如果是用命令行启动容器，添加--roles-claim=roles参数：

  docker run -p 3000:3000 \
    quay.io/keycloak/keycloak-gatekeeper:latest \
    --discovery-url=https://identity.***********.io/.well-known/openid-configuration \
    --client-id=******** \
    --client-secret=******** \
    --listen=0.0.0.0:3000 \
    --upstream-url=http://your-upstream-service \
    --roles-claim=roles \
    --enable-debug # 可选，开启调试日志方便后续排查
  

• 如果是用配置文件（比如config.yml），添加roles_claim字段：

  discovery_url: https://identity.***********.io/.well-known/openid-configuration
  client_id: ********
  client_secret: ********
  listen: 0.0.0.0:3000
  upstream_url: http://your-upstream-service
  roles_claim: "roles" # 指定从顶层roles字段读取角色
  enable_debug: true # 可选调试开关
  

2. 验证修改效果

重启Gatekeeper容器后，重新登录访问受保护资源，查看日志：

• 如果看到found the user identity条目里的roles字段显示为"role-1,role-3"，说明配置已经生效
• 此时访问资源应该能正常通过授权，不再返回403

额外调试建议 #

• 开启debug日志：添加调试参数后，Gatekeeper会输出JWT解析的详细过程，你可以直观看到它是否正确读取到了roles字段
• 确认JWT结构：用jwt.io解析你拿到的ID Token/Access Token，再次确认roles字段的位置和结构
• 检查Scope权限：如果后续出现角色字段缺失的情况，检查请求的scope是否包含roles（比如把scope: openid email profile roles加到配置里）

内容的提问来源于stack exchange，提问作者whiskerc