为什么我不能在 KeyCloak 中使用来自 gocloak 中 Login()

Question

我正在编写一个在 keycloak 服务器中创建新客户端的 API。我使用 gocloak 包与 keycloak 服务器交互。起初我将来自 gocloak.Login() 函数的访问令牌传递给 gocloak.CreateClient() 并收到 403 错误之后我使用来自 gocloak.LoginAdmin() 的访问令牌并且它有效，它确实创建了一个新的客户。那么是什么导致从 gocloak.Login() 返回的访问令牌失败呢？代码：func main() {    newClientID := "new_client"    client := gocloak.NewClient("http://localhost:8080")    // The access token returned from Login() causes 403 error    jwt, _ := client.Login(context.Background(), "my-go-service", "vizhhp0qnDGaiq4k0aOzzn4RaaqSwU2b", "master", "admin", "Pa55w0rd")    _, err := client.CreateClient(context.Background(), jwt.AccessToken, "demorealm", gocloak.Client{ ClientID: &newClientID})    if err != nil {        fmt.Println(err.Error())    }    // And the access token returned from LoginAdmin() works    jwt, _ = client.LoginAdmin(context.Background(), "admin", "Pa55w0rd", "master")    clientID, err := client.CreateClient(context.Background(), jwt.AccessToken, "demorealm", gocloak.Client{ ClientID: &newClientID})    if err != nil {        fmt.Println(err.Error())    } else {        fmt.Printf("Client %s created", clientID)    }}结果：403 Forbidden: unknown_errorClient d869fd8d-e5f0-4567-99de-69ccc4403705 created

Answer 1

要使用Keycloak Admin API，它允许创建客户端，你需要使用admin-cli客户端。

这就是为什么：

jwt, _ = client.LoginAdmin(context.Background(), "admin", "Pa55w0rd", "master")

之所以有效，是因为 LoginAdmin 调用了 admin-cli，而：

jwt, _ := client.Login(context.Background(), "my-go-service", "vizhhp0qnDGaiq4k0aOzzn4RaaqSwU2b", "master", "admin", "Pa55w0rd")

正在从客户端“my-go-service”请求令牌，不允许执行对 Admin Rest API 的调用。因此：

403 Forbidden: unknown_error

如果您查看LoginAdmin实现，您可以确认我所说的：

// LoginAdmin performs a login with Admin client

func (client *gocloak) LoginAdmin(ctx context.Context, username, password, realm string) (*JWT, error) {

    return client.GetToken(ctx, realm, TokenOptions{

        ClientID:  StringP(adminClientID),

        GrantType: StringP("password"),

        Username:  &username,

        Password:  &password,

    })

}

在哪里

adminClientID string = "admin-cli"