Keycloak限制客户端manage-users角色仅拥有创建用户权限的方案问询

操作步骤（适配Keycloak 15.0.2 已开启细粒度权限场景） #

1. 移除原有高风险权限

• 进入testRealm领域，点击左侧菜单栏「客户端」，找到testClientA进入详情页
• 切换到「服务账户角色」标签页，在已分配角色列表中找到manage-users，移除该角色

2. 开启用户资源的细粒度权限控制

• 点击左侧菜单栏「用户」，点击页面右上角的「权限」标签（已开启admin_fine_grained_authz才会展示该标签）
• 打开「权限已启用」开关，保存配置

3. 创建自定义受限角色

• 回到testClientA详情页，切换到「角色」标签页，点击「添加角色」
• 自定义角色名如create-user-only，填写说明后保存

4. 绑定细粒度创建权限到自定义角色

• 回到「用户」-「权限」配置页，在权限列表中找到create权限，点击进入详情
• 切换到「关联的策略」标签页，点击「创建策略」，选择「角色」类型
• 自定义策略名如允许testClientA创建用户，在「客户端角色」下拉框选中testClientA下刚创建的create-user-only角色，逻辑选择「肯定」，保存配置
• 回到create权限配置页，确认决策策略为「一致」，且刚创建的角色策略已被关联到该权限，保存配置

5. 权限验证

• 用testClientA的client_credentials模式获取access token，调用创建用户接口POST /auth/admin/realms/testRealm/users传合法用户参数，正常返回201代表创建权限生效
• 尝试调用查询全量用户、删除用户、修改用户组的接口，返回403无权限代表范围限制生效

注意事项：

• 配置完成后如果权限不生效，可进入「服务器管理」-「缓存」页面，清除领域缓存和用户缓存后再测试
• 若后续需要扩展权限，比如允许该客户端修改自己创建的用户，可在用户权限页找到对应操作的权限，按相同逻辑绑定角色即可

内容的提问来源于stack exchange，提问作者CoDemystified JavaFx