Keycloak：通过CLI创建用户时指定角色未正常分配问题

我之前也碰到过一模一样的问题，核心原因是你在创建用户的JSON请求体里多了个不该出现的字段——access。这个字段是Keycloak返回用户信息时的响应字段，用来描述用户的操作权限，根本不需要在创建用户时传入。它的存在会干扰API的正常处理逻辑，导致自定义角色admin没被正确解析和分配。

解决方案1：修正JSON请求体（推荐） #

先把user-admin.json里的access字段完全移除，修正后的内容如下：

{
  "username": "adminLocal",
  "enabled": true,
  "totp": false,
  "emailVerified": false,
  "firstName": "admin",
  "lastName": "local",
  "email": "adminLocal@domain.com",
  "disableableCredentialTypes": ["password"],
  "requiredActions": [],
  "notBefore": 0,
  "credentials": [
    {
      "value": "secret",
      "type": "password",
      "temporary": false
    }
  ],
  "realmRoles": ["admin","offline_access","uma_authorization"]
}

然后重新执行创建用户的命令：

./kcadm.sh create users -r [realm_name] -f user-admin.json

修改后，Keycloak就能正确识别并分配所有指定的Realm角色，包括你预先创建的自定义admin角色。

解决方案2：单条命令合并创建与角色分配（兼容特殊版本） #

如果修正JSON后仍然无法生效（比如某些旧版本Keycloak的API限制），可以将创建用户和分配角色的命令合并成一条执行，确保操作原子性：

./kcadm.sh create users -r [realm_name] -f user-admin.json && ./kcadm.sh add-roles -r [realm_name] --uusername adminLocal --rolename admin

这条命令会先创建用户，成功后立即为该用户分配admin角色，完美替代你的临时方案，实现单条命令完成所有操作。

内容的提问来源于stack exchange，提问作者rokpoto.com