从MDB调用EJB时的权限问题（Keycloak替代JAAS场景）

针对你切换到Keycloak后MDB调用EJB的权限问题，我整理了几个实用的解决方案，结合WildFly和Keycloak的特性来适配你的场景：

原来的JAAS LoginContext 依赖旧的LDAP安全域，在Keycloak环境下不再适用。你可以改用Keycloak的Client Credentials模式，创建一个专用的服务账号，通过API获取token并构建认证上下文，让MDB以此身份调用EJB。

步骤和代码示例：

1. 首先在Keycloak后台创建一个客户端，开启Service Accounts Enabled，并给这个服务账号分配EJB所需的角色（比如ejb-invoker）。
2. 在MDB中使用Keycloak API获取token并设置身份：

import org.keycloak.Keycloak;
import org.keycloak.KeycloakBuilder;
import org.keycloak.representations.AccessTokenResponse;
import org.keycloak.adapters.RefreshableKeycloakSecurityContext;
import org.keycloak.KeycloakPrincipal;
import javax.security.auth.Subject;
import javax.security.jacc.PolicyContext;
import javax.naming.InitialContext;

public void invokeEjbWithServiceAccount() {
    // 初始化Keycloak客户端，获取服务账号token
    Keycloak keycloak = KeycloakBuilder.builder()
            .serverUrl("http://your-keycloak-domain/auth")
            .realm("your-realm-name")
            .clientId("mdb-service-client")
            .clientSecret("your-client-secret")
            .grantType("client_credentials")
            .build();

    AccessTokenResponse tokenResponse = keycloak.tokenManager().getAccessToken();

    // 构建Keycloak安全上下文和Principal
    RefreshableKeycloakSecurityContext securityContext = new RefreshableKeycloakSecurityContext(
            null,
            tokenResponse.getToken(),
            tokenResponse.getRefreshToken(),
            tokenResponse.getExpiresIn(),
            tokenResponse.getRefreshExpiresIn(),
            tokenResponse.getToken(), // issuer URL，也可以直接写Keycloak的realm地址
            null,
            null,
            null
    );

    KeycloakPrincipal<RefreshableKeycloakSecurityContext> principal =
            new KeycloakPrincipal<>("mdb-service-user", securityContext);

    // 将身份绑定到当前线程的Subject
    Subject subject = new Subject();
    subject.getPrincipals().add(principal);
    subject.getPrivateCredentials().add(securityContext);
    PolicyContext.setContext("javax.security.auth.Subject.container", subject);

    // 现在调用受保护的EJB
    YourProtectedEjb ejb = (YourProtectedEjb) InitialContext.doLookup("java:module/YourProtectedEjb");
    ejb.yourRestrictedMethod();

    // 清理上下文（可选，避免影响后续消息处理）
    PolicyContext.setContext("javax.security.auth.Subject.container", null);
}

通过EJB部署描述符给MDB指定固定的运行身份，让MDB在处理消息时自动使用该身份调用EJB，无需手动编码认证逻辑。

1. 在ejb-jar.xml中配置MDB的安全身份：

<ejb-jar xmlns="http://xmlns.jcp.org/xml/ns/javaee" version="3.2">
    <enterprise-beans>
        <message-driven>
            <ejb-name>YourMdbBean</ejb-name>
            <security-identity>
                <!-- 指定运行时使用的角色，需在Keycloak中存在并绑定到服务账号 -->
                <run-as>
                    <role-name>ejb-invoker-role</role-name>
                </run-as>
            </security-identity>
        </message-driven>
    </enterprise-beans>
</ejb-jar>

2. 在Keycloak中确保该角色被分配给对应的服务账号，同时在WildFly的standalone.xml中配置Keycloak安全域的角色映射，将Keycloak角色映射到JavaEE角色：

<security-domain name="keycloak" cache-type="default">
    <authentication>
        <login-module code="org.keycloak.adapters.jaas.BearerTokenLoginModule" flag="required"/>
    </authentication>
    <authorization>
        <policy-module code="org.keycloak.adapters.jaas.RoleMappingPolicyModule" flag="required">
            <module-option name="rolesProperties" value="${jboss.home.dir}/keycloak-roles.properties"/>
        </policy-module>
    </authorization>
</security-domain>

在keycloak-roles.properties中添加映射：

ejb-invoker-role=ejb-invoker-role

如果你需要更灵活的身份控制，可以直接通过WildFly的SecurityContext API设置当前线程的身份：

import org.jboss.security.SecurityContextAssociation;
import org.jboss.security.SecurityContext;
import org.keycloak.adapters.jaas.RolePrincipal;
import org.keycloak.KeycloakPrincipal;
import org.keycloak.adapters.RefreshableKeycloakSecurityContext;
import javax.security.auth.Subject;
import java.util.HashSet;
import java.util.Set;

public void setSecurityContext() {
    // 构建Keycloak Principal和角色
    RefreshableKeycloakSecurityContext securityContext = ...; // 从token获取或构建
    KeycloakPrincipal<RefreshableKeycloakSecurityContext> principal =
            new KeycloakPrincipal<>("mdb-service-user", securityContext);
    Set<Principal> principals = new HashSet<>();
    principals.add(principal);
    principals.add(new RolePrincipal("ejb-invoker-role"));

    // 设置Subject到SecurityContext
    Subject subject = new Subject();
    subject.getPrincipals().addAll(principals);
    SecurityContext sc = SecurityContextAssociation.getSecurityContext();
    sc.setSubject(subject);

    // 调用EJB...

    // 清理上下文
    SecurityContextAssociation.clearSecurityContext();
}

• 确保Keycloak服务账号拥有EJB权限配置中要求的角色，角色名称要和EJB安全配置中的权限对应。
• 开启WildFly的安全日志（设置org.jboss.security为DEBUG级别），可以帮助你排查身份传递过程中的问题。
• 若使用方案1，注意token的过期时间，必要时添加token刷新逻辑。

内容的提问来源于stack exchange，提问作者Valsaraj Viswanathan