Keycloak使用模拟功能时JWT的resource_access字段缺失clientId如何解决

问题根因 #

resource_access下出现.roles键是角色映射配置错误导致的：Keycloak会将未绑定到特定客户端的角色统一放在.roles这个特殊字段下，而令牌交换的校验逻辑要求impersonation角色必须属于realm-management客户端，因此校验失败。

修复步骤 #

• 登录Keycloak管理员控制台，进入对应的Realm，打开需要分配模拟权限的用户详情页，切换到「角色映射」标签。
• 下拉「客户端角色」选择框，选中realm-management客户端，不要直接选择全局角色列表中的impersonation角色。
• 在realm-management客户端的可用角色列表中找到impersonation，添加到用户的已分配角色中。如果之前已经给用户分配过全局级别的impersonation角色，需要先删除该全局角色映射。
• 若发起令牌交换请求的是服务账号（客户端凭证模式），则需要进入对应客户端的「服务账号角色」标签页，同样在realm-management的客户端角色下分配impersonation权限。
• 清理用户当前的有效会话，重新申请访问令牌后校验JWT结构，resource_access下会生成realm-management节点，下挂的roles数组会包含impersonation，此时令牌交换请求即可正常通过。

补充注意 #

Keycloak 14版本的token_exchange属于预览特性，如果配置完角色后仍有异常，可以在Keycloak启动参数中添加-Dkeycloak.profile.feature.token_exchange=enabled确保特性完全生效。

内容的提问来源于stack exchange，提问作者mmelsen