Keycloak 23+中为客户端分配realm-management的manage-users角色的正确方式

我刚好在Keycloak 23里处理过一模一样的需求，你找错操作入口啦！要给客户端分配realm-management的角色，不是在客户端的「Roles」页面操作，而是要通过客户端的**服务账户（Service Account）**来关联，具体步骤如下：

• 登录Keycloak管理控制台，进入目标Realm
• 在左侧菜单找到「Clients」，打开你的「logic」客户端详情页
• 切换到Service Account Roles标签页（这是你之前没注意到的关键页面）
• 在页面上方的「Client Roles」下拉框里，从默认的「logic」切换为realm-management
• 此时下方的角色列表就会显示realm-management下的所有角色，找到并选中「manage-users」
• 点击右侧的「Add selected」按钮，完成角色分配

为什么要这么操作？ #

因为你的「Logic」客户端用的是客户端凭证授权模式，本质上是用这个客户端的「服务账户」来获取权限令牌的——这个服务账户是Keycloak自动为每个客户端创建的隐藏用户，所有客户端的权限都通过这个账户来承载。

之前你在realm-management的角色页面只能给普通用户分配权限，看不到客户端的服务账户，所以得走客户端自己的Service Account Roles路径。

关于自定义角色的误区 #

你提到的自己创建同名「manage-users」角色完全没必要，而且根本没用——Keycloak的用户管理API权限是和realm-management客户端下的特定角色绑定的，自定义的同名角色没有对应的权限映射，调用API还是会返回403禁止访问。

验证权限是否生效 #

完成分配后，你可以用客户端凭证模式获取一次令牌，解码后查看resource_access字段，应该能看到类似这样的结构：

"resource_access": {
  "realm-management": {
    "roles": ["manage-users"]
  },
  "logic": {
    "roles": ["uma_protection"]
  }
}

这就说明权限已经生效，接下来就能正常调用Keycloak的用户管理API了。

备注：内容来源于stack exchange，提问作者Lucio Crusca