Keycloak的admin-cli客户端查询群组时返回403 Forbidden的原因是什么？

admin-cli 权限逻辑说明 #

Keycloak 从未对admin-cli客户端做内置权限硬编码，原生Docker镜像预配置的admin-cli默认未分配任何角色的原因是：

• 出厂默认的admin-cli为公开类型客户端，设计用于用户交互式登录场景，调用接口时的权限完全来自登录用户自身绑定的角色，不需要给客户端本身分配角色
• 当使用keycloak-admin-client以客户端凭证模式调用GroupsResource.groups接口时，使用的是admin-cli的服务账户身份，该身份的权限需要单独配置，和交互式登录场景的权限逻辑完全独立

403报错解决步骤 #

你遇到的HTTP 403 Forbidden报错是服务账户缺少对应权限导致，按以下步骤配置即可：

• 登录Keycloak管理控制台，进入对应Realm，打开客户端列表中的admin-cli配置页
• 切换到「设置」标签页：
  • 确认「访问类型」设置为机密
  • 开启「服务账户已启用」开关，保存配置
• 切换到配置页新增的「服务账户角色」标签页：
  • 「客户端角色」下拉框选择realm-management
  • 在可用角色列表中找到view-groups（仅查询场景）、manage-groups（需修改群组场景），勾选后添加到已分配角色
• 重新调用接口验证即可

多环境表现不一致原因 #

两个环境返回结果不同属于配置差异导致：

• 运行正常的环境要么已给admin-cli的服务账户分配了对应群组权限，要么调用时使用的是用户密码模式，登录用户自身持有群组查询权限
• 报错环境要么未开启admin-cli的服务账户，要么服务账户未分配对应角色

内容的提问来源于stack exchange，提问作者jfrantzius