如何为Keycloak客户端服务用户授予仅管理自身客户端的权限

1. 开启目标客户端的独立权限控制 #

• 使用超级管理员账号登录Keycloak admin控制台，进入对应Realm
• 左侧导航栏点击「客户端」，找到需要授权服务用户编辑的目标客户端，进入详情页
• 切换到权限标签页，打开「权限启用」开关（只有全局开启keycloak.profile.feature.admin_fine_grained_authz=enabled特性后才会显示该标签）

2. 创建针对目标服务用户的授权策略 #

• 保持在当前客户端的权限页面，左侧子菜单选择「策略」，点击「创建策略」后选择「用户」类型
• 自定义策略名称（比如允许XX服务用户编辑当前客户端），在用户选择框中选中你要授权的服务用户，保存即可

3. 绑定编辑权限与策略 #

• 回到当前客户端的权限页面的「权限」列表，找到你需要开放的权限项：
  • 如果你允许该用户编辑当前客户端所有配置，选择manage权限
  • 如果你仅允许编辑回跳URL相关配置，找到细分的edit-redirect-uris类权限（不同Keycloak版本命名可能略有差异）
• 进入对应权限的详情页，在「关联策略」列表中添加你上一步创建的用户策略，保存配置

4. 补充基础访问权限 #

• 左侧导航栏找到「用户」，进入目标服务用户的详情页，切换到「角色映射」标签
• 分配realm-management客户端下的view-clients角色，否则服务用户无法在客户端列表中找到目标客户端

注意：该功能属于预览特性，不同Keycloak版本的权限项命名、操作路径可能存在细微差异，配置完成后建议直接用服务用户账号验证权限范围是否符合预期。

内容的提问来源于stack exchange，提问作者André