Доступ к API-интерфейсу REST Keycloak с использованием служебной учетной записи (предоставление учетных данных клиента) - PullRequest
Новая
       20

Доступ к API-интерфейсу REST Keycloak с использованием служебной учетной записи (предоставление учетных данных клиента)

0 голосов
/ 08 сентября 2018

Мне нравится управлять клавиатурой из моего собственного приложения: создавать пользователей и клиентов, отображать пользователей и клиентов.Поскольку это не реальный пользователь, а машина, я хотел бы использовать служебную учетную запись с предоставлением учетных данных клиента, как предложено в Как получить пользователей Keycloak через REST без учетной записи администратора .Чтобы понять это, я:

  1. создаю область
  2. внутри реального созданного клиента
  3. настроил тип доступа клиента на "конфиденциальный", сохранил и активировалОпция «Service Accounts Enabled», которая появится после сохранения.

  4. включить под областями клиентские роли "реального управления" (см. Скриншот) enter image description here

  5. запросилтокен доступа с «username: password» base64, закодированный в заголовке curl -X POST 'http://accounts.d10l.de/auth/realms/d10l/protocol/openid-connect/token' \ -H "Content-Type: application/x-www-form-urlencoded" \ -H "Authorization: Basic ZGV2ZWxvcGVyLXBvcnRhbDpmZGRmYzM4Yy05MzAyLTRlZmQtYTM3Yy1lMWFmZGEyMmRhMzc=" \ -d 'grant_type=client_credentials' \ | jq -r '.access_token'

  6. Попробуйте получить доступ к пользователям с помощью токена доступа:

curl -I GET 'http://accounts.d10l.de/auth/admin/realms/d10l/users/' \ -H "Authorization: Bearer eyJhbGciOiJSUzI1NiIsInR5cCIgOiAiSldUIiwia2lkIiA6ICIxRVdoNENFUjIweDY5SlBCekU4dU9GdXF4R2NVNlVfWmpTNTQ5bmd2QjNjIn0.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.D_XnpF1rwCayup8h4UXM4AGWkY_xQo40X-yIlWhmqaxkVh1FQy24932VDRCAmxYHcrwazRMqO7snXmre3_8YF5R9Dt8GYjiBorECvQ9X_nBwunmHqnGxIeE64c2GXiz6zSjdgQJQE8fH10NsLyFWHQ-lBPsBwZBsrkKQ5QUEU2qjE7rDRPtYLJPB94BSE4QGfedmRIbvg39snVkClBDUmuBTq_Rc4p7kV69h0a2Mb1sgEr3MdB4RcsOe3gJPZVVtu7gZuGqcAQKMYgtybArF3OXz37w8hjUp6FABxDcvY7K-jsGxXn0hSU0OB7wxAWY9vP4ar4tQYlKxNjs46rPLWw"

Но ответом является 403:

url: (6) Could not resolve host: GET HTTP/1.1 403 Forbidden content-length: 0 date: Sat, 08 Sep 2018 19:42:06 GMT

Как / возможно ли получить доступ к Admin REST API из новой учетной записи службы через клиентские полномочия?

1 Ответ

0 голосов
/ 11 сентября 2018

Keycloak различает отображение Scopes / Scope и управление ролями.

Вкладка Scopes: вы видите в приведенном выше вопросе только те роли, которые клиенту разрешено запрашивать.

Для работы с полномочиями клиента эти роли должны быть назначены клиенту ввкладка «Роли учетной записи службы».

Таким образом, в итоге клиент получает токен, который является пересечением обеих этих конфигураций.

Источник: https://www.keycloak.org/docs/latest/server_admin/index.html#_service_accounts

...