Keycloak如何配置权限允许指定用户代其他用户执行操作

Keycloak原生支持该需求，对应功能为用户模拟（Impersonation），配置完成后被授权的用户无需知晓目标用户的登录凭证，即可直接模拟对方身份执行所有允许的操作。

配置步骤 #

• 配置代操作用户的基础权限
  进入对应Realm的「用户」管理界面，找到需要授予代操作权限的用户，切换到「角色映射」标签页，点击「分配角色」，筛选范围选择「客户端角色」，选中realm-management客户端，找到impersonation角色勾选后保存即可。
• （可选）限制可模拟的用户范围
  如果不允许该用户模拟所有用户，可通过权限策略做范围限制：先开启当前Realm的「权限」总开关，进入realm-management客户端的「权限」标签，找到impersonation权限项，新建对应策略（可基于用户组、用户属性、角色等维度设置规则），将策略绑定到impersonation权限即可。

实际使用方式 #

• 管理控制台端操作：被授权用户登录Keycloak管理控制台后，进入要模拟的目标用户详情页，点击右上角的「模拟」按钮即可直接切换为目标用户身份。
• 自定义应用集成：如果需要在自有业务系统中实现模拟能力，可调用Keycloak的Token Exchange接口，接口请求示例如下：

  POST /realms/{你的Realm名称}/protocol/openid-connect/token
  Content-Type: application/x-www-form-urlencoded
  
  grant_type=urn:ietf:params:oauth:grant-type:token-exchange
  &subject_token={代操作用户的有效access token}
  &requested_subject={目标用户的用户ID}
  &client_id={你的业务系统客户端ID}
  &client_secret={你的业务系统客户端密钥（非公开客户端需要）}
  

  调用成功后返回的token即为目标用户的身份凭证，可直接用于业务系统操作。

注意事项 #

• 所有模拟操作都会被Keycloak记录到审计日志中，可在「事件」-「管理事件」页面筛选IMPERSONATE操作类型，查看所有模拟操作的发起用户、目标用户、操作时间等信息。
• 公开类型的客户端默认不能调用Token Exchange接口，需要在客户端配置中开启对应的权限。

内容的提问来源于stack exchange，提问作者George Dimitriou