Keycloak：使用 keycloak-admin

如何解决Keycloak：使用 keycloak-admin

我必须将旧式身份验证系统移至 Keycloak，并且无法更改客户端上的实际工作流程。因此，我需要为我的 api（在 node.js 中）提供一个用户创建和登录系统，该系统依次代表用户从 Keycloak 创建和获取访问令牌。

我能够创建一个用户，但我无法找到为该用户生成访问令牌的方法。我发现的唯一解决方法是创建一个用户并设置一个随机密码，然后要求授予提供用户名和密码的用户，但这意味着我必须在我身边存储一个密码，这正是我想要移动的原因到 Keycloak。

const KcAdminClient   = require('keycloak-admin').default;
const Keycloak        = require('keycloak-connect');

const _keycloakAdmin = new KcAdminClient({
  baseUrl: process.env.KEYCLOAK_SERVER_AUTH_URL,realm: process.env.KEYCLOAK_REALM
});
await _keycloakAdmin.auth({
  realm: process.env.KEYCLOAK_REALM,username: process.env.KEYCLOAK_USER,password: process.env.KEYCLOAK_PASSWORD,grantType: 'password',clientId: process.env.KEYCLOAK_CLIENT_ID,});

//Create a user and set password 
const newUser = await _keycloakAdmin.users.create({
  realm: process.env.KEYCLOAK_REALM,username: 'something',email: '[email protected]',firstName: 'Some',lastName: 'One',emailVerified: true,enabled: true,});

await _keycloakAdmin.users.resetPassword({
    realm: process.env.KEYCLOAK_REALM,id: newUser.id,credential: {
        temporary: false,type: 'password',value: 'randompassword'
    }
});

//generate a token for the user
const _keycloak = new Keycloak({},{
  clientId: process.env.KEYCLOAK_CLIENT_ID,serverUrl: process.env.KEYCLOAK_SERVER_AUTH_URL,realm: process.env.KEYCLOAK_REALM,credentials: {
      secret: process.env.KEYCLOAK_CLIENT_SECRET
  }
});
const grant = await _keycloak.grantManager.obtainDirectly('something','randompassword');
const access_token = grant.access_token.token;

我无法相信没有更优雅的方式来做到这一点，所以我认为我在 Keycloak 客户端的配置和理解一些基本概念和命名约定方面缺少一些基本的东西。我本来希望像

await _keycloakAdmin.users.generateAccesstoken(userId,realm,clientId,...)

但是我找不到它。我只在这里找到了这个悬而未决的问题：Keycloak :REST API call to get access token of a user through admin username and password

解决方法

该解决方案非常复杂，需要（在撰写本文时）激活名为 Token Exchange 的 Keycloak 的“预览”功能。该过程在 https://www.keycloak.org/docs/latest/securing_apps/index.html#_token-exchange 中进行了描述，对于我的具体情况，我遵循了 https://www.keycloak.org/docs/latest/securing_apps/index.html#internal-token-to-internal-token-exchange 中的说明。

首先，您需要启用令牌交换功能，在运行 Keycloak 时将开关 -Dkeycloak.profile=preview 添加到 JAVA_OPTS。要检查 Keycloak 是否加载了预览功能，请在 /auth/admin/master/console/#/server-info 部分配置文件下查看您的服务器信息：

令牌交换的想法是，您获得一个域管理员的令牌，然后将其交换为“普通”用户的令牌。 为此，您必须为 Keycloak 领域创建（如果您还没有）两个不同的客户端：第一个是管理员用来获取令牌的“起始客户端”，第二个是“目标客户端”您想要“普通”用户的令牌。

之后，您需要为您的领域创建一个管理员用户。您可以按照 Keycloak - Create Admin User in a Realm

上的说明进行操作

然后您需要启用目标客户端接受令牌交换。您应该仔细遵循 https://www.keycloak.org/docs/latest/securing_apps/index.html#_client_to_client_permission 上的说明 这是一个两步过程：创建客户端策略，指定哪些“启动客户端”可以交换令牌，然后启用目标客户端的权限并将刚刚创建的策略附加到 token-exchange 权限：

完成设置 Keycloak 后，您实际上可以发出两个调用，首先为领域管理员获取令牌，然后为具有特定 userId 的用户获取令牌。

获取管理员令牌

curl --location --request POST '<your_url>/auth/realms/<your_realm>/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=password' \
--data-urlencode 'client_id=<your_starting_client>' \
--data-urlencode 'username=<your_admin_username>' \
--data-urlencode 'password=<your_admin_password>' \
--data-urlencode 'realm=<your_realm>' \
--data-urlencode 'scope=openid'

用“普通”用户令牌交换管理员令牌

curl --location --request POST '<your_url>/auth/realms/<your_realm>/protocol/openid-connect/token' \
--header 'Content-Type: application/x-www-form-urlencoded' \
--data-urlencode 'grant_type=urn:ietf:params:oauth:grant-type:token-exchange' \
--data-urlencode 'client_id=<your_starting_client>' \
--data-urlencode 'subject_token=<your_admin_token>' \
--data-urlencode 'requested_token_type=urn:ietf:params:oauth:token-type:refresh_token' \
--data-urlencode 'audience=<your_target_client>' \
--data-urlencode 'requested_subject=<your_target_user_id>'

根据客户端的配置，您最终可能必须在第二次调用中指定 client_secret。